Перейти к содержанию
Вася Пупкин

Zero day malware detection rate

Recommended Posts

Вася Пупкин

Очень интересные данные можно найти в статистике Shadowserver Foundation, сервере независимых профессионалов в области информационной безопасности. Данные показывают кто есть кто в реальной жизни, а не в рекламме, неожиданно и печально для некоторых. Молодцы доктора, так держать!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sergey ulasen

Вопрос об этом ресурсе уже поднимался неоднократно. К примеру, здесь и здесь.

К сожалению, прояснить, кто же занимается данной работой, так до сего дня не получилось. Толи это энтузиасты с медовыми баночками, толи какая-то организация?

Если следить за данным ресурсом постоянно, то можно заметить, что циферки там плавают, и периодически расклад меняется в пользу того или иного вендора.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

да, статистика там явно хромает. то есть данные за месяц и 6 месяц слабо коррелирутся. То есть - несмотря на явную девиацию вирусной активности - числа не бьют. То есть там надобно еще разбираться с релевантностью результатоа.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вася Пупкин
Вопрос об этом ресурсе уже поднимался неоднократно. К примеру, здесь и здесь.

К сожалению, прояснить, кто же занимается данной работой, так до сего дня не получилось. Толи это энтузиасты с медовыми баночками, толи какая-то организация?

Если следить за данным ресурсом постоянно, то можно заметить, что циферки там плавают, и периодически расклад меняется в пользу того или иного вендора.

Достопримечательность упомянутых данных в том, что это есть показательность эффективности того или иного антивирусного средства в реальной обстановке, в которой находятся обычные пользователи подвергаясь malware-атаке. Миссия членов сообщества, это взаимодействие с ISP в борьбе с bot nets. Антивирусы являются применяемыми на первоначальном этапе анализа схваченных экземпляров вредоносного кода, если они ничего не определили, то в последующем код анализируется с использованием технологии sanboxing и анализа кода дизассемблером. Суть в том, что SSF не есть тестирующее объединение, а результаты выраженные в виде таблиц и графиков есть побочный результат их деятельности.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

ИМХО наш новый динамический тест антивирусов, который кстати уже идет, заведово будет иметь более репрезентативные результаты.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
ИМХО наш новый динамический тест антивирусов, который кстати уже идет, заведово будет иметь более репрезентативные результаты.

почему?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

По той простой причине, что детектирумые в 90% случаях вредоносы как-то не тянут на zero-day <_<

Никто не проверяет, старый сампл или его реально только выложили и он действительно является какой-то новой угрозой.

В нашем же тесте мы отбираем только реально свежие самплы, в противном случае уже давно закончили бы его.

Если есть вопросы по нашему тесту - готов ответить на них в соответствующей ветке.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Если есть вопросы по нашему тесту - готов ответить на них в соответствующей ветке.

не вопросов у меня нет, просто хотелось чтобы голословное утверждение слегка развернули

развернули - спасибо

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • SQx
      Приветствую Дмитрий,
      Похоже вы были правы из-за этого файла vboxnetflt.exe и возникали проблемы. После его удаление антивирус Kaspersky не ругается.
    • Andrian
      Ее можно установить дополнительно к антивирусу или она не требует установки?
    • SQx
      Дмитрий,

      Похоже я ошибся и не внимательно прочитал статью Sophos:

      Легитимная запись: "SCM Event Log Consumer" (type: NTEventLogEventConsumer) + "SCM Event Log Filter"
      Вредоносная запись : "SCM Events Log Consumer" (type: CommandLineEventConsumer) + "SCM Events Log Filter" Прошу прощения, что побеспокойл.
    • SQx
      Спасибо за ответ, похоже статья антивируса Sophos меня ввела в заблуждение.
      Запрошу проверить пользователя указанные файлы и запрошу у него лог в безопасном режиме.
    • demkd
      приветствую, в логе он стандартный ничего вредоносного в нем нет, причина точно не в нем.
      что видит касперский хз, может нащупал внедренный поток в один из файлов, например в vboxnetflt.exe, на который ругается uVS, а может это особенность его работы, я с ним не работал, но лог вообще плохой, масса защищенных файлов, какой-то левый драйвер в safe mode прописан, чистить и чистить его.
×