Результаты омнибусного исследования от ESET - Общий форум по информационной безопасности - Форумы Anti-Malware.ru Перейти к содержанию
Сергей Ильин

Результаты омнибусного исследования от ESET

Recommended Posts

Сергей Ильин

Вот такой вот замечательный пресс-релиз пришел от российского Eset:

*****************************************

Антивирус компании ESET — международного разработчика антивирусного ПО и решений в области компьютерной безопасности — чаще других рекомендуют друзьям и знакомым. По данным масштабного исследования, проведенного известной исследовательской компанией КОМКОН в рамках проекта «Онлайн-Омнибус» 2008/V, 90% пользователей антивируса ESET NOD32 советуют приобретать именно этот продукт.

Исследование выявило ряд интересных закономерностей. Так по частоте использования на домашних компьютерах и на работе антивирусное ПО ESET NOD32 занимает второе место. Сегодня каждый четвертый пользователь компьютера в России защищен ESET NOD32 (24,2% респондентов в России, и 23,1% в целом в Москве). На рабочем месте антивирусные решения компании ESET установлены соответственно у 15,6% и 14,7% пользователей. Третье место по частоте использования занимает антивирус Dr.Web (по России в целом установлен у 10,1% опрошенных на работе, и 13,2% дома), четвертое место по этому показателю делят продукты компании Symantec (7,1% респондентов пользуются антивирусными продуктами Symantec на работе) и антивирусу Avast! (13,2% пользователей указали, что используют Avast! на домашних компьютерах). При этом антивирусные решения ESET NOD32 пользователи рекомендуют друг другу охотнее всего — 90% опрошенных подтвердили, что своим друзьям, коллегам и знакомым они советуют именно этот продукт.

По узнаваемости бренда ESET NOD32 уверенно входит в пятерку лидеров производителей антивирусного ПО, в числе которых названы: Лаборатория Касперского, DrWeb, Symantec и Panda. За полгода, прошедшие с момента публикации результатов предыдущего исследования (ноябрь 2007 года) узнаваемость ESET выросла в среднем на 14%, составив 54,7% для России и 52,7% для Москвы. В соответствии с результатами анкетирования Интернет-пользователей России, предпочтение антивирусным решениям ESET NOD32 отдают преимущественно мужчины (57,9%), в возрасте от 20 до 44 лет (более 45%), подавляющее пользователей ESET NOD32 имеют высшее или неполное высшее образование. Должностной статус также влияет на предпочтения. Так, с большим отрывом среди пользователей ESET NOD32 лидируют группы «Квалифицированный специалист с высшим образованием» (около 32,8%), «Руководитель подразделения» (13,1%), «Руководители высшего и среднего звена» (12,9%).

Срез по направлениям деятельности показывает, что антивирусное ПО ESET чаще всего выбирают те, кто связан с информационными технологиями — 26,1% москвичей, связанных с IT, заявили, что являются пользователями ESET NOD32 на работе, и 17,5% IT-специалистов являются домашними пользователями продуктов ESET. По России в этой группе соотношение составляет 26,8% для офисных и 19,7% для домашних пользователей.

В ходе исследования были получены некоторые результаты, удивившие специалистов. Так оказалось, что среди людей, предпочитающих антивирус компании Symantec, более 60% состоят в браке (в среднем по вендорам число семейных составляет 55%), а большую половину пользователей (прим. как в анекдоте) Антивируса Касперского составляют женщины (52%).

Аудиторию опроса составили москвичи (2150 человек) и жители крупных городов России (8039 человек), являющиеся постоянными пользователями сети Интернет. Случайная выборка респондентов с учетом квот на пол и возраст обеспечивает репрезентативность результатов опроса для всех интернет-пользователей — это 4 млн. 178 тыс. или 62,5% жителей Москвы, и 14 млн. 164 тыс. или 32,7% жителей крупных (свыше 100 тыс.) городов России в возрасте 16-55 лет, которые составляют интернет-аудиторию в настоящее время (по данным регулярного по off-line-исследования КОМКОН-TGI Russia 1-е полугодие 2008 г.)

В рамках исследования учитывались такие характеристики респондентов как возраст, пол, семейное положение, уровень образования, характер занятости и должностной статус, а также сфера профессиональной деятельности. Результаты также ранжировались в зависимости от того, где используется антивирусное решение — дома или на работе. Исследование охватило практически все основные антивирусные продукты, представленные сегодня на российском рынке: Антивирус Касперского, DrWEB, ESET NOD32, McAfee, Norton Antivirus, Panda, Avast!. Остальные антивирусные продукты были отнесены к категории «другие». Особые процедуры отбора респондентов, квотирования подгрупп и выборочного телефонного контроля, а также проверка заполненных анкет на логичность обеспечили высокую достоверность результатов.

«Опираясь на фактические данные, мы можем построить наиболее эффективную политику развития продаж нашего продукта и продвижения компании на рынке в целом, — говорит Анна Александрова, директор по маркетингу ESET в России. — Исследование показало, что продукция компании ESET востребована и узнаваема на российском рынке, причем показатель узнаваемости бренда растет. Пользователь нашего программного продукта моложе, активнее и рациональнее, а значит, его выбор обусловлен скорее знанием, чем сиюминутными предпочтениями, сформированными под влиянием рекламы. Все это дает нам основания с оптимизмом смотреть в будущее, ставить перед собой самые амбициозные задачи».

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
radioelectron
большую половину пользователей

Хорошо они там в Эсете статистику ведут.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
Вот такой вот замечательный пресс-релиз пришел от российского Eset:

"Замечательный", это в ехидном смысле?

Расхождений с другими источниками статистических данных,

как мне кажется, не заметно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

загадочный симбиоз социологии и статистики....Вспоминается М. Твен. :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE
загадочный симбиоз социологии и статистики....Вспоминается М. Твен.

Ага, такой же загадочный, как и отчет IDC

http://www.anti-malware.ru/forum/index.php...ost&p=39018

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
"Замечательный", это в ехидном смысле?

Ну зачем же ... какое уж тут ехидство. Такая новость не может остаться незамеченной, есть конкретные цифры, результаты опроса, проведенного уважаемой компаний.

Меня в этом пресс-релизе только смущает в первом абзаце отсчет мест начиная со второго :)

Ага, такой же загадочный, как и отчет IDC

А при чем тут отчет IDC то? Не вижу ничего общего между их отчетом и этим пресс-релизом. Там говорилось о доле рынка, а тут пишут про инсталляционную базу (кстати, ясно включая нелицензионщиков), узнаваемость бренда и рекомендации. Переводить инсталляционную базу в доходы компании ну никак нельзя при таком уровне пиратства как в нашей стране.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
EYE

Компания, занимающая первое место на рынке России, когда пишет о миллионах

А при чем тут отчет IDC то? Не вижу ничего общего между их отчетом и этим пресс-релизом.

Цифры...

Там говорилось о доле рынка, а тут пишут про инсталляционную базу (кстати, ясно включая нелицензионщиков), узнаваемость бренда и рекомендации. Переводить инсталляционную базу в доходы компании ну никак нельзя при таком уровне пиратства как в нашей стране.

...а также в Китае и еще в определенном перечне стран, пираты которых, так же не "портят" статистику компании,

занимающей первое место на рынке России, когда речь заходит о миллионах (десятках, сотнях?) пользователей ее продуктов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Цифры...

Если только в плане визуального сходства ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Олег Гудилин

Забавное в пресс-релизе есть :rolleyes:

1.Не указано насколько выросла-упала доля Есет по сравнению с прошлым исследованием. Согласно аналогичному исследованию заказанному нами у Ромир их доля осталась прежней.

2.Не выделены отдельно лицензионные пользователи. Там картина несколько другая, поскольку лицензонщиков у Есет меньше, чем у других вендоров

лицензия.PNG

3.Вот это

а большую половину пользователей (прим. как в анекдоте) Антивируса Касперского составляют женщины (52%).

в принципе ставит под сомнение правильность составления выборки, ибо по данным Ромира среди пользователей Есета 71% мужиков, среди наших 64%.

Ну да бог с ним, результаты полученные Есетом мне нравятся даже больше. Я считаю наоборот очень позитивным, что среди наших пользователей много женщин и неайтишнков. Это значит мы делаем продукты для всех, а не только для "продвинутых". Картина наших пользователей ближе к общедемографической, нет перекоса и это радует - значит наш продукт доступен каждому :rolleyes:

post-1330-1213719131_thumb.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Андрей-001

Статистика такого рода (см. головной пост) всегда относительна. Точного подсчёта вдряд ли возможно достигнуть. Но по моим наблюдениям за последние два месяца у домашних пользователей сильно сдал в популярности Антивирус Касперского, и скорее всего из-за того, что с каждой неделей количество пиратских и левых интернет-ключей уменьшается. :)

Покупной лицензионный Nod32 вряд ли пока может опередить KAV, многие домашние пользователи просто обмениваются его ключиками. Версия зачастую прошлогодняя.

Где-то рядом с ними находится DrWeb, у нас по большей части из-за того, что уже около года прилагается с лицензией на полгода при покупке готового системного блока в магазинах ФортеВД. Увы, версия только прошлогодняя.

В комп. магазинах DrWeb и Nod32 идут по цене 1200+/- рублей, KAV7 - 980 руб. , KIS - 1400-1500 руб., что тоже влияет на статистику.

На ноутах при покупке стоят NAV и Panda. Увы, также старых версий 2006-2007 гг.

[Этот пост написан независимо от поста Олега Гудилина, а не как комментарий к его посту. Любое совпадение только подтверждает факты].

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
dot_sent
Увы, версия только прошлогодняя.

Апгрейд версии входит в стоимость. Другой вопрос, что не всякий домашник будет его делать, по общеизвестному принципу "Пока гром не грянет..."

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
четвертое место по этому показателю делят продукты компании Symantec (7,1% респондентов пользуются антивирусными продуктами Symantec на работе) и антивирусу Avast! (13,2% пользователей указали, что используют Avast! на домашних компьютерах).

а я не понял они как делят? Почему не даны данные о доле аваста на рабочих компах и симантека на домашних?

и вот это не понял

Сегодня каждый четвертый пользователь компьютера в России защищен ESET NOD32 (24,2% респондентов в России, и 23,1% в целом в Москве). На рабочем месте антивирусные решения компании ESET установлены соответственно у 15,6% и 14,7% пользователей.

у всех указано какова доля на домашних, какова на рабочих...а у есета нет про домашних никаких слов, просто есть цифра 24,2% - это на каких компах на домашних? или на домашних и рабочих?

как-то так написали все, что и не посчитаешь ничего, потому как неясно что имели в виду на самом деле

жаль никто не придет оттуда и не напишет точно, что подразумевалось

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков
как-то так написали все, что и не посчитаешь ничего, потому как неясно что имели в виду на самом деле

жаль никто не придет оттуда и не напишет точно, что подразумевалось

Как всегда надо идти на первоисточник - там данных больше, хотя и не все.

http://www.esetnod32.ru/download-files/Omn...08_05_SMALL.pdf

Все это мне напомнило предыдущее исследование Комкона с как всегд замечательной интерпретацией Eset :)

Обсуждение здесь:

http://www.anti-malware.ru/forum/index.php...ic=3862&hl=

Продолжим обсуждение и независимую интерпретацию.

В новом опросе:

"подавляющее пользователей ESET NOD32 имеют высшее или неполное высшее образование."

Ранее они писали

"предпочтение NOD32 оказывают преимущественно мужчины, подавляющее большинство из них имеют высшее или неполное высшее образование (62,7%). "

На что я заметил "Т.е. можно сказать по другому - почти 40% пользователей у NOD32 без высшего образования. А если учесть, что неполного высшего сейчас вроде бы нет, то убрав массу студентов, можно получить еще больший(50-60?) процент без высшего образования."

Сейчас видимо они решили таких данных не приводить. Видимо с процентами по высшему образованию дела хуже стали :)

Очень удивляет доля Avast по этому опросу.

Практически не продвигаемый продукт занимает 5% офисного рынка и 16% домашнего?

Как говориться - "Не верю!"

А компанию Symantec, я думаю заинтересует тот факт, что несмотря на все усилия, даже на рабочих компьютерах пользователи используют NAV, а не SAV. :) Хотя в мелких компаниях(2-7 ПК) так действительно бывает.

Слова представителей Eset - "Пользователь нашего программного продукта моложе, активнее и рациональнее, а значит, его выбор обусловлен скорее знанием, чем сиюминутными предпочтениями, сформированными под влиянием рекламы. " интерпретировать к сожалению не могу, так как на чем основаны эти данные они постеснялись показать. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

спасибище, Вадим

Очень удивляет доля Avira по этому опросу.

Практически не продвигаемый продукт занимает 5% офисного рынка и 16% домашнего?

Как говориться - "Не верю!"

имели в виду Avast? так он же халявный, ничего особо удивительного.

и все равно не ясно

омнибус.png

просуммировал первый столбик - получил 9016, а не 8039

получается, что около тысячи (это будет где-то 12%) несколько антивирусов использует на домашнем компе?

и это как минимум - потому как вариант ответа "не использую антивирус" куда-то девался. И так по всем столбцам.

не многовато ли экспериментаторов?

потом опять же если вопрос звучал так, как написано и под ним варианты ответов были - то снова не совсем корректно. а я вот если не Norton Antivirus использую, а NIS или Norton360 (аналогично с KIS) - мне куда бечь? В другое?

потом опять же непонятно какой такой Norton Antivirus на работе? и я не особо уверен что все респонденты способны были осознать, что их Symantec на работе это тоже самое, что Norton. куда девались не осознавшие? если в другое, то не маловато ли это другое?

post-10-1213740577_thumb.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков
имели в виду Avast? так он же халявный, ничего особо удивительного.

Да, Avast. Исправил у себя пост.

А мне удивительно. Так как в опросе подсчитывали и нелицензионные копии коммерческих продуктов, то 16% - очень большой процент. По результатам опросов в различных форумах я никогда не наблюдал такого количества пользователей Avast.

Интересно, что за колонка [000] с числами почти в два раза больше, чем в колонке [sample] ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков
по данным Ромира среди пользователей Есета

Судя по данным Ромира, среди пользователей NOD32 процент правонарушителей в среднем 1,5 раза выше, чем в у пользователей других антивирусов. А у пользователей DrWeb в 1,5 раза ниже.

Интересно, это ли имела ввиду Анна Александрова когда говорила - "Пользователь нашего программного продукта моложе, активнее и рациональнее" ;)

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr
Интересно, это ли имела ввиду Анна Александрова когда говорила - "Пользователь нашего программного продукта моложе, активнее и рациональнее"

я думаю, что - по приниципу - "зачем платить?" :D То есть согласен с этим предположением полностью

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Честно говоря данные этого опроса, как и любого другого, имеют смысл лишь в привязке к вопросам анкеты. А вопрос звучит так:

"Есть ли на Вашем компьютере антивирусная программа?"

Если для домашних пользователей этот вопрос корректен, то корпоративных так спрашивать ИМХО некорректно. Пользователи рабочих станций в большинстве своем понятия не имеют, какой у них там стоит антивирус и стоит ли вообще. Поэтому в ответ на такой вопросы мы получим логическую цепочку типа: "Эээ ... наверное есть ... наверное касперский" или "Эээ ... не знаю ... не видел там Касперского ... Нод тоже не видел .... значит антивируса нет" :)

Я уже не говорю про то, например, что сисадмины Symantec часто вообще убирают иконку антивируса из трея на рабочих станциях - пользователям нефиг знать что-то об антивирусном ПО на их машинах. Подозреваю, что такая фича есть и у Trend Micro, кстати, а где он в табличке? <_<

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
bse

При этом антивирусные решения ESET NOD32 пользователи рекомендуют друг другу охотнее всего — 90% опрошенных подтвердили, что своим друзьям, коллегам и знакомым они советуют именно этот продукт.
Сам так попался и сам так делал месяца три. Был доволен, пока скрытые недостатки не полезли наружу.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Интересно, что за колонка [000] с числами почти в два раза больше, чем в колонке [sample] ?

не в два раза, а во много много раз

как я понимаю это колонка показывает количество людей в генеральной совокупности, которую представляет выборка [sample]

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков
не в два раза, а во много много раз

8039[sample] и 14159,5[000] для меня отличаются почти в два раза.

Или там разные порядки чисел используются? 14159,5 тысяч?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
14159,5 тысяч?

угу

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kokunov Aleksey

набрел в и-нете...

на работе:

comcon1.gif

дома:

comcon2.gif

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Разделение Москва/Россия - это самое то, что не вызывает вопросов и нареканий.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TANUKI

Хотелось бы видеть в этой статистике распределение между теми, кто купил продукцию ЕСЕТ, а кто пользуется ей только потому, что это, пожалуй, продукт с самой простой системой защиты от халявщиков (точнее, с полным ее отсутствием) :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
    • PR55.RP55
      Несколько не по теме. Но для владельцев сайтов актуально... https://www.comss.ru/page.php?id=20880
    • santy
      RP55, По п.10 уже есть реализация: в 5.04 o Переменные окружения всех пользователей с некорректным содержимым теперь добавляются
         в список как подозрительные объекты со статусом "ПЕРЕМЕННАЯ".
         Удаление такого объекта приведет к удалению переменной пользователя или 
         к восстановлению значения по умолчанию если это системная переменная.   по п. 8, для задач в uVS публикуется командная строка, но то что стали модифицировать известные задачи, это да, теперь придется за всеми задачами следить по п.7 В uVS есть указание на то что известный файл размещен по нестандартному пути, по идее тоже должно попасть в подозрительные. по п.6 Ранее уже сталкивались с подобным зловредом,  здесь, https://chklst.ru/forum/discussion/76/kak-udalit-bekdor-crexv-i-vosstanovit-normalnuyu-rabotu-menyu-pusk-v-xpvistaseven  
    • demkd
      ИИ — полезная штука, но, к сожалению, бесплатные версии, как тот же Google Gemini Flash, тупенькие на уровне 12b моделей, делают колоссальное число ошибок по мелочам. Яблочко от яблони... Мало того, "новое" у них обычно старое с отставанием на год, и это в лучшем случае. Я сейчас как раз занимаюсь новой, уже 3-й версией своего "Клавиатурного помощника". В нём будет поддержка локального ИИ, горячих ИИ-клавиш, голосовых команд, голосового ввода и вспомогательной LLM для переводов, правки текста и т.п. Именно локального ИИ без необходимости обращения в сеть и сопутствующих утечек данных И это не для старого железа — нужно как минимум много памяти и современный процессор, в идеале хотя бы RTX 5060 Ti 16 ГБ в качестве ускорителя. А результат, ну, такой себе. ИИ слишком склонен ошибаться, и доверять ему что-то серьёзное пока не стоит, даже код пишет, который как-то работает, но в нём масса мелких и незаметных ошибок и уязвимостей. 
      Текст исправлен с помощью Google Gemma 4 E4B. 
    • PR55.RP55
      Вы сказали: "Найди все новые ключи которые появились 2026 г. и ранее не использовались... Можешь ?"
      *Да, я могу помочь* составить список новых ключей реестра и путей
      автозагрузки, которые вредоносное ПО использует в текущих кампаниях
      (включая модификации 2026 года), маскируясь под легальные системные
      компоненты. ( скопирую частично) :   * *|HKLM\SOFTWARE\Classes\Protocols\Filter|* и *|\Handler|* — новые
          модификации Adware перехватывают протоколы edge:// или msproedg://
          для подмены поисковой выдачи.   * *|HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss|* —
          использование подсистемы WSL для скрытого автозапуска
          Linux-ориентированных рекламных модулей, незаметных для стандартных
          триггеров автозагрузки Windows. Современные зловреды (особенно Adware и майнеры) научились прописываться
      в тихий автозапуск без создания классических ключей |Run| или
      |Services|. Они используют встроенный механизм Windows 10/11 —
      *псевдонимы выполнения приложений*.   * *Суть*: В реестре создается связь в ветке
          |HKCU\Software\Microsoft\Windows\CurrentVersion\App Paths| или через
          механизм |AppXPackage|. Зловред подменяет вызов легальной команды
          (например, при наборе пользователем |notepad| или |calc| в строке
          «Выполнить») и запускает свое тело.
        * *Что добавить в памятку*: Обращать внимание на появление кастомных
          записей в блоке «Псевдонимы приложений» и проверять, куда
          перенаправляются стандартные системные вызовы. 2. Подмена через каталоги |Lxss| (WSL — Windows Subsystem for Linux)
      Это одна из самых опасных современных тенденций, так как многие
      антивирусы до сих пор слабо сканируют Linux-среду внутри Windows.   * *Суть*: Майнеры и стилеры прописывают свой запуск внутри
          дистрибутива WSL (ключ реестра
          |HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss|). При старте
          Windows запускается скрытая фоновая сессия WSL, которая активирует
          ELF-бинарник (Linux-вирус). В логах автозапуска Windows это выглядит
          как легальный старт службы |wsl.exe|, но с хитрыми аргументами.
        * *Что добавить в памятку*: Формула «А+В+С»: если |wsl.exe|
          запускается автоматически с флагами |-d| (конкретный дистрибутив)
          или скрытыми bash-скриптами — это 100% повод для изоляции и проверки
          содержимого виртуального диска VHDX. 3. Продвинутый Timestomping с подделкой под апдейты ОС
      Раньше вирусописатели просто копировали даты у соседних файлов
      (|kernel32.dll| и т.д.). Теперь они действуют умнее:   * *Суть*: Дата создания файла выставляется ровно на день/час крупного
          официального обновления Windows (например, подстраиваются под график
          Patch Tuesday от Microsoft). Аналитик смотрит на лог uVS, видит дату
          (например, |14.10.2025|) и думает: «А, ну это тогда накопительный
          апдейт прилетел, файл чистый».
        * *Что добавить в памятку*: Правило проверки контрольных сумм. Не
          верить датам, даже если они идеально совпадают со временем
          системного обновления. Если у файла из папки |System32| с
          «правильной» датой обновления отсутствует валидная ЭЦП (или статус
          |Цифр. подпись: НЕТ|) — это критический триггер. 4. Атаки типа Living off the Land (LotL) через новые системные утилиты
      Вместо использования заезженных |powershell.exe| или |cmd.exe|, которые
      сейчас жестко блокируются любым EDR/антивирусом, малварь перешла на
      легальные, но редкие утилиты Windows (LOLBins).   * *Суть*: Для скачивания и запуска вредоносного кода используются
          системные компоненты:
            o |curl.exe| (теперь встроен в Windows) — для скрытой загрузки
              полезной нагрузки.
            o |tar.exe| — для распаковки зашифрованных архивов со стилерами
              прямо «на лету».
            o |winget.exe| (Windows Package Manager) — для скачивания
              вредоносных утилит из легальных репозиториев.
        * *Что добавить в памятку*: В uVS нужно тщательно анализировать
          параметры запуска командной строки в Планировщике задач (|TASKS|),
          если там фигурируют |curl|, |tar| или |bitsadmin|, качающие что-то с
          внешних IP-адресов. 6. Скрытые модификации через COM-объекты (COM Hijacking без изменения
      файлов)
      Вместо перезаписи файлов в |System32| или создания явных ключей |Run|,
      малварь перехватывает легальные системные интерфейсы через реестр.   * *Суть*: Зловред прописывает путь к своей вредоносной DLL в ветку
          *|HKCU\Software\Classes\CLSID\{GUID}\InprocServer32|*. При этом
          берется GUID легального и часто используемого компонента Windows
          (например, Проводника, контекстного меню или планировщика). Как
          только система или пользователь совершает обычное действие
          (открывает папку, кликает правой кнопкой мыши), Windows
          автоматически подгружает вредоносную DLL.
        * *Что добавить в памятку*: В uVS такие объекты часто попадают в
          категорию «Подозрительные CLSID» или скрытые расширения оболочки.
          Если в ветке |HKCU| (пользовательский уровень) переопределяется
          системный GUID, который по умолчанию должен жить только в |HKLM|
          (уровень системы) — это явный признак перехвата. 7. Спуфинг цифровой подписи через уязвимости каталогов (Catalog Signing
      Spoofing)
      Малварь научилась обходить базовую проверку подписей, из-за чего в логах
      некоторых утилит файл может ошибочно помечаться как «Подписан Microsoft».   * *Суть*: Используются уязвимости в механизме проверки файлов через
          каталоги безопасности Windows (|.cat| файлы). Вредоносный бинарник
          модифицируется таким образом, что его хэш совпадает с хэшем
          легального файла в базе данных каталогов (используются коллизии или
          специфические уязвимости парсинга).
        * *Что добавить в памятку*: Правило двойной проверки. Если файл
          находится в нетипичном месте (например,
          |C:\Users\...\Temp\svchost.exe|), но uVS или ОС рапортует, что у
          него «Валидная подпись Microsoft» — необходимо принудительно
          отправлять хэш файла на VirusTotal через встроенную функцию uVS или
          проверять подпись сторонними утилитами (например, |Sigcheck| от
          Sysinternals) с проверкой отзывов сертификатов. 8. Эксплуатация механизма «Служб доставки обновлений» браузеров
      (Edge/Chrome Maintenance)
      Рекламное ПО (Adware) и кликеры ушли от создания собственных явных служб
      и теперь паразитируют на легальных планировщиках браузеров.   * *Суть*: Вредоносный скрипт не создает новую задачу в Планировщике.
          Вместо этого он модифицирует параметры /уже существующей/ легальной
          задачи, например, |MicrosoftEdgeUpdateTaskMachineCore|. В
          оригинальную команду дописывается скрытый аргумент
          (аргумент-паразит), который раз в сутки скачивает или запускает
          рекламный модуль. Аналитик видит знакомое имя задачи Edge, видит
          легальный путь к апдейтеру и пропускает её.
        * *Что добавить в памятку*: При анализе задач Планировщика (|TASKS|) в
          uVS нужно смотреть не только на имя файла, но и *полностью
          разворачивать строку аргументов*. Любые добавленные URL-адреса,
          вызовы |cmd /c|, или сторонние пути в параметрах легальных служб
          обновления — это стопроцентный признак компрометации. 10. Фейковые системные переменные в путях автозапуска
      Обман визуального восприятия аналитика через манипуляцию переменными среды.   * *Суть*: В реестре или планировщике путь к файлу прописывается как
          |%SystemRoot%\System32\drivers\malware.sys|. Но перед этим на уровне
          пользователя (|HKCU\Environment|) создается кастомная переменная
          |%SystemRoot%|, которая указывает вовсе не на |C:\Windows|, а на
          |C:\Users\Public\Documents|. В итоге аналитик глазами видит
          «безопасный» системный путь, а система при загрузке идет в скрытую
          пользовательскую папку.
        * *Что добавить в памятку*: Всегда проверять блок «Переменные
          окружения» в начале лога uVS. Любые попытки переопределить
          стандартные переменные вроде |%SystemRoot%|, |%WinDir%| или
          |%ProgramFiles%| на уровне текущего пользователя — это критическая
          угроза.
×