Перейти к содержанию
Сергей Ильин

Антивирус в нулевом цикле ОС

Recommended Posts

Сергей Ильин

Часто приходится слышать о том, что якобы один антивирус работает "полностью" на уровне R0 (нулевой цикл) операционки, а другие нет.

Вот, например, недавнее высказывание по этому поводу представителя Доктора Веба (как часто бывает стеб над КАВом):

"в KAV нет R0 антивируса. у него все на уровне пользователя, что есть большая потенциальная дыра, которую пытаются заткнуть тем что хакерскими методами не дают остановить R3 приложение. ну не смогли так не смогли - зато прекрасно показывает видеофильмы и анимирует иконки. каждому свое"

http://sysadmin.mail.ru/pforum/viewtopic.php?t=4687

Насколько я напримаю, драйвер любого АВ работает на уровне R0, тогда о чем же идет речь, в чем разница?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TiX

Если полностью АВ в Р0 - как Нод или дрвеб - то сканирует файлы драйвер. в случае ошибки падает вся ОС.

Большенство АВ ставять только драйвера перехватчики а сам сканирующий движок находится в Р3.

Первые начинают проверку почти сразу после запуска ядра, вторые - уже когда почти все загрузилось - стартуют как сервисы

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Кстати, как я понял недавно Symantec объявил об обновлении движка:

Речь я так понимаю идет о том, что появилось в 5 версии, все это написано красиво, но по-моему так пишут все, а вот как это работает с технической точки зрения неизвестно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
nobody@nowhere
Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

они пошли дальше и вручную разбирают ntfs на диске?

Добавлено спустя 3 минуты 5 секунд:

Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

можно было спросить его лично вчера на mail.ru

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn

У меня нет нужных знаний.Говорю из того,что дошло из журналов,интернета,а так же здесь прочитал.

Р3 - это уязвимо сразу при первом же недетект. вирусе.Нужна защита.Всё равно ещё драйвер(?).Падает при ошибке так же всё.Возможно,Др.Веб этот путь сократил.Какая технология,с учётом сопутствующих,лучше,могли бы знать только(?) если одна и та же команда одинаково (не)предвзято оба варианта с одинаковым желанием тестирует для выборки одного для себя.В конечном итоге решают больше факторов,чем этот отдельно взятый и это ещё не последняя точка.Да и зачем?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TiX
Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

На сколько я помню он всегда там работал Ж)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
можно было спросить его лично вчера на mail.ru

Так собственно я там это и прочитал :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Михаил Кондрашин
Р3 - это уязвимо сразу при первом же недетект. вирусе.Нужна защита.Всё равно ещё драйвер(?).

P3 означает, что автору вируса проще деактивировать резидентный монитор и не более того. Если весь антивирус запихнуть в P0, это не значит, что злобный вирус с ним не справится. Есть много способов испортить жизнь антивирусу. Из простейших: Заблокировать работу обновлений. То есть, если антивирус пропустил такую бяку, то бяка так и останется в системе, так как анитвирус не сможет обновиться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn

Какой АВ держит планку выше по собственной защищённости для пользователя типа меня,который только с ограниченного аккоунта выходит,КАВ.5(Р3) с мотором в Р3 и ли КАВ.5(Р0) с мотором в Р0?Берём,что та же защита,что сегодня там для Р3,действует так же на Р0 в новом примере ну и так же подзаточена.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
Какой АВ держит планку выше по собственной защищённости для пользователя типа меня,который только с ограниченного аккоунта выходит,КАВ.5(Р3) с мотором в Р3 и ли КАВ.5(Р0) с мотором в Р0?Берём,что та же защита,что сегодня там для Р3,действует так же на Р0 в новом примере ну и так же подзаточена.

По собственной защищённости выше планку держит КАВ 6.0 с его самозащитой. При этом никто весь антивирус в нулевое кольцо не пихал, видать, это не единственный способ =) Когда Данилов говорит о работе др.Веба в нулевом кольце, он подчёркивает не самозащищённость, а более ранний запуск защиты. Его защита запускается вместе с драйверами, а не вместе с сервисами. Интересно было бы услышать, насколько этот плюс значим.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn

Я не знаю,как там с КАВ6 выглядит.Исхожу,что в Р3 (иначе под заголовок только 5-ка для разговора подходит).То есть,беру я мотор КАВ6 и перемещаю в Р0 из Р3 (и на туда защиту перерасчитываю со всем,что не совсем лишнее оказывается) и всё остальное - под аккоунт Админа,а не Хотькто,то не выходит ли,что вирусу,если он до Р0 хочет,сначала надо дыру найти в Виндовсе (я/он - в огранич. аккоунте),что может быть уже невозможно?Разве это не дополнительная стена по сравнению с Р3 само по себе в смысле самозащиты?И если дыры нет,то и стена для вира из огран.аккоунта непробиваема.Остаются только недочёты в программировании,но это я не рассматриваю,так как и для Р3 этот фактор одинаково действует.Разница такая,что уже Админпроцесс я сбить не могу,а также ни в какую другую папку нет доступа,которую из Хотького к Админу перенесли.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Интересно было бы услышать, насколько этот плюс значим.

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
Интересно было бы услышать, насколько этот плюс значим.

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

В теории плюс в том, что зловред не сможет запуститься раньше антивируса. Ведь если зловред запустился раньше, он может не дать антивирусу стартануть. На мой взгляд, это не такое уж значимое преимущество, потому что зловреду нужно сперва проникнуть в систему. Если антивирус его не знает, то он не заблокирует его ни во время проникновения, ни во время загрузки системы - так что тут нас не спасёт драйвер. А если знает, то зловред будет убит ещё в момент проникновения. То есть остаётся только вариант проникновения в период отключения защиты... Кто-то ещё хочет высказаться? =)

Добавлено спустя 5 минут 27 секунд:

То есть,беру я мотор КАВ6 и перемещаю в Р0 из Р3 (и на туда защиту перерасчитываю со всем,что не совсем лишнее оказывается) и всё остальное - под аккоунт Админа,а не Хотькто,то не выходит ли,что вирусу,если он до Р0 хочет,сначала надо дыру найти в Виндовсе (я/он - в огранич. аккоунте),что может быть уже невозможно?Разве это не дополнительная стена по сравнению с Р3 само по себе в смысле самозащиты?

В любом случае, если вирус хочет проникнуть в ринг0, ему нужно очень постараться. И если у него получится, то антивирус в принципе будет бессилен, так как в ринг0 он, насколько я знаю, проверок никаких не делает, иначе система будет тормозить по-дикому. Но лёгкость проникновения в ринг0 имхо никак не зависит от того, сидит ли весь антивирус в драйвере или нет.

А самозащита антивируса тоже не увеличится от переноса его целиком в драйвер. Достаточно того, что сама самозащита через драйвер работает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn

Имеешь ввиду,если недетект. вирус уже в огран. аккоунте со мной и имеет дальнешую цель,то он адмни/системпроцесс также может легко защекотать до упада,как и текущий можновсем процесс?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
Имеешь ввиду,если недетект. вирус уже в огран. аккоунте со мной и имеет дальнешую цель,то он адмни/системпроцесс также может легко защекотать до упада,как и текущий можновсем процесс?

А, нет, если ты в ограниченном аккаунте сидишь, то вирус в любом случае не сможет сделать больше, чем можно ограниченному аккаунту. Но это к делу не относится. Я говорю, что если вирус не детектируется, то неважно запустится ли он раньше антивируса или позже - его антивирус всё равно не оставновит, ибо не знает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
то неважно запустится ли он раньше антивируса или позже - его антивирус всё равно не оставновит, ибо не знает.

Согласен, в этом случае разницы нет.

А что если такая ситуация: вирус внедрился в систему, когда еще не был известен, но выносить АВ не стал (или не смог), тогда при обновлении АВ захочет его удалить, но если вирус будет находиться в Р0 сможет ли он это сделать?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
А что если такая ситуация: вирус внедрился в систему, когда еще не был известен, но выносить АВ не стал (или не смог), тогда при обновлении АВ захочет его удалить, но если вирус будет находиться в Р0 сможет ли он это сделать?

Здесь, видимо, всё зависит от вируса. Если вирус захочет себя защитить, у него это скорее всего выйдет. Он по-идее может вообще снять перехватчики антивируса и поставить туда свои, если пожелает... Может залочить свои файлы запросто и никто их не удалит, потому что вирус будет стартовать вместе с драйвером - и даже если антивирус тоже стартует вместе с драйвером, где гарантия, что его драйвер стартанёт раньше... Короче говоря, проникновение на ринг0 - это беда для антивируса, независимо от того, где он сидит. Имхо. И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка). А если уже проник, то на то есть аварийный диск.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn
И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка).

И для этого так же с непробиваемого (если дыр больше не осталось) ограниченного аккоунта выплывать (ну нигде об этом не говорят).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TiX
Интересно было бы услышать' date=' насколько этот плюс значим.[/quote']

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

В теории плюс в том, что зловред не сможет запуститься раньше антивируса.quote]

Теперь надо вспомнить что спайдер работает в "оптимальном режиме - не проверяет файлы при открытии и запуску" следовательно преимущество нулевое.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn

Имеешь ввиду,что у него нет защиты в реалтайме,только вручную скан,или как?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
TiX

нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dmitry Perets
нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

Что, серъёзно?! Хм... Это ж дыра! Юзер не защищён даже от элементарного случая, когда вирус проникает на комп чуть раньше обновления баз...=(

Добавлено спустя 3 минуты 22 секунды:

И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка).

И для этого так же с непробиваемого (если дыр больше не осталось) ограниченного аккоунта выплывать (ну нигде об этом не говорят).

Кстати, Микрософт говорит. Читал где-то на сайте у них рекомендацию сидеть под аккаунтом юзера. Только вот работать так, мягко говоря, неудобно...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn
нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

Да,это так и есть.Я что-то не подумал сразу про дефолт.Я то себе (знакомым тоже,это остаются только те,кто сам инсталлирует и совсем не разбирается и некого позвать,домохозяики с мужьями к ним обычно не относятся,другие зовут меня) всё равно всегда переставляю везде и в конечном итоге имею,что я поставил.Таким образом,спайдер в конечном итоге и при открытии проверяет.Это для меня аргумент,что прога может делать и делает мне,а не дефолт.

Кстати, Микрософт говорит. Читал где-то на сайте у них рекомендацию сидеть под аккаунтом юзера. Только вот работать так, мягко говоря, неудобно...

Под ограниченным аккоунтом писать можно,копировать на принтере тоже,фотки переделывать,видики так же,музыку слушать,всё это сгружать или конвертировать,на CD всё это записывать в инете лазить и многое другое,где не нужно проги инсталлировать,а только уже инсталлированными пользоваться и их работой загружать.Это специально для того,что бы не дать новому,недетектируемуму вирусу прав на инсталлирование в систему (Р0 - любимое место руткитов и любых сильных вирусов,работать с ними пользователю будет бесполезно),а также это не даёт прав новому,ещё недетектируемуму вирусу что-нибудь в системе стереть или сбить либо коррумпировать защитную прогу (смотря,где эта прога).Что TiX выходит в инет под Админом,чтобы систему специально ослабить и стенку убрать перед вирусами для проверки АВ,это он уже писал,если я с другим не путаю.Но это же один случай действительной необходиости из тысячи.У остальных (ну,типа меня) обратная цель.По мне я и меряю.Всем знакомым советую под огран.аккоунтом работать,никому не помешало ничем.Это больше дело привычки.Для инсталирования проги или апдейтования Виндовса перехожу на безвирусного Админа.Больше он мне не нужен.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Inkogn

Факт на сегодня,что КАВ больше вирусов детектирует.Я,с учётом весомых достоинств и опасных недостатков каждого,не назвал бы ни одного лучшим по сумме результатов.Кто не очень разбирается,может выбирать по цвету - не ошибётся ни с одним,а кто побольше немного поймёт,тому придётся выбирать,с каким слабым пунктом он согласен жить.

Вообще,это,по моему,чисто новая русская психология (сам удивляюсь).За границей радуются открытием новых предприятий,даже если такие уже есть,потому что это означает,что больше таких,как я,сами зарабатывают на жизнь,а не сидят на иждивении (налоге) у всех,а также работающий (заработок - везде больная тема,как и при коммунизме было),скорее всего,не будет думать о продаже наркотиков,сутенёрстве и прочем вредительсве (вирусы выдумывать) и заработке на несчастьях других.Только в России,похоже,наоборот и чем больше возможностей чистые деньги заработать и не вредя продержаться передавлено,тем больше и радость победы.Возможно,что перебарщиваю.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Dmitrius
      Сервис подбора и сравнение кредитов Случается так, что деньги нужны срочно. Поэтому если у вас нет накоплений, рациональней всего обратиться за помощью на этот сайт, где собраны надежные, проверенные банки, которым точно можно доверять. Учреждения подготовили лучшие предложения, которые только возможны. На этом сайте есть возможность подобрать кредит, а также оформить займ либо взять деньги на приобретение автомобиля. И самое главное, что все это на наиболее выгодных для вас условиях. Автокредит Казахстан проценты - это шанс купить все, что нужно, не отказывая себе в покупке. Все банковские продукты различаются требованиями, условиями выдачи, а потому рекомендуется детально изучить условия договора и особенности выдачи денежных средств. Потребительский кредит оформить (рассчитать) в Алматы получится в данный момент. На этом сайте вы сможете не только подобрать подходящий вариант, но и сравнить имеющиеся. Затем следует определиться с тем, в какой банк обратиться за материальной поддержкой. Составить заявку на выдачу средств можно в режиме реального времени. Кредит наличными заявка онлайн выдается в течение часа наиболее комфортным для вас способом. На портале опубликован список всех доступных предложений, имеется необходимая информация о каждом банке и кредитах. Выберете самую низкую процентную ставку, а также сумму и сроки, на которые планируете занять сумму. Все максимально просто, быстро и понятно. Ипотека проценты Казахстан (ипотека Казахстан) - это отличная возможность решить свои жилищные проблемы. Важно помнить о том, что лишь надежные компании с огромным опытом готовы предложить приемлемые условия. Выберете подходящий для себя банковский продукт, чтобы поправить материальное положение.
    • Dmitrius
      Интернет магазин автозапчастей  Интернет-магазин «AUTOSHOP» реализует внушительный выбор деталей на автомобили - их можно подобрать не только по наименованию, но и артикулу и другим параметрам. Имеются разные запчасти на любые автомобили самых разных марок и моделей - вы сможете их найти в один клик. Запчасти находятся на складе - это дает возможность осуществить быструю транспортировку. Сотрудничество исключительно с надежными, проверенными поставщиками, которые работают на совесть и предлагают продукцию безупречного качества и с длительными эксплуатационными сроками. Автозапчасти интернет магазин для иномарок рекомендует ознакомиться с полным ассортиментом – он даст возможность подобрать вариант с учетом обозначенных требований. Перед тем, как осуществить приобретение, необходимо детально изучить технические аспекты, ведь именно они влияют на сроки эксплуатации и внешний вид авто. Но если вам требуется помощь специалиста, то вы всегда можете воспользоваться профессиональной консультацией. Автозапчасти для иномарок Курск вы обязательно подберете для любой машины, несмотря на год производства. Изучите справочник автотоваров, каталог, а также новости, представленные на данную тематику - информация поможет принять правильное решение. Сотрудники интернет-магазина быстро реагируют на появление новых деталей в европейских магазинах для того, чтобы в ближайшее время пополнить ими свой ассортимент. Это даст возможность быстро среагировать за изменяющуюся ситуацию. Каталог автозапчастей Курск содержит огромный перечень деталей. Они созданы в соответствии с самыми высокими стандартами, нормами, требованиями. Администрация проверяет запчасти на соответствие заданным характеристикам, поэтому в продажу попадает только та продукция, которая имеет сопроводительную документацию, сертификаты. На продукцию есть гарантии, подтверждающие безупречное качество, оригинальность.
    • JamesBisee
      Купить газовый котел с закрытой камерой сгорания в Москве
      https://www.fire-flower.ru/
      https://www.google.tg/url?q=https://fire-flower.ru
    • PR55.RP55
      По всей видимости uVS не всегда может получить доступ к: Hosts Нужно чтобы в Лог писалась информация: "Нет доступа  к Hosts " Вроде сейчас uVS  соответствующих записей не создаёт?
    • Dmitrius
      Канализация из септиков под ключ На предприятии каждый сможет заказать установку септиков, созданных из ЖБ конец - они не только практичны, но и отличаются безукоризненным качеством. Ищите где заказать монтаж септика астра - получите всю необходимую информацию на сайте. Важным моментом является то, что услуги оказываются на должном, профессиональном уровне. Это достигается за счет того, что в бригаде трудятся специалисты, которые знают все особенности своей работы. При этом стоимость работ остается на доступном уровне. Огромный стаж работы позволил приобрести большое количество клиентов – они советуют предприятие знакомым. Бетонные септики пользуются популярностью не только за счет своей небольшой стоимости, но и благодаря прочности, а также невосприимчивы к негативным условиях среды, они не нуждаются в сервисном обслуживании. И самое важное, что установка проводится на грунте любого типа. Такой вид септика считается самым быстрым способом организовать очистное сооружение на дачном участке. Сотрудники предприятия специально для вас подготовят предложение, произведут расчеты, грамотно расположат септик, а заодно и закупят все необходимые материалы по доступным ценам, выполнят доставку и монтажные работы. На все, включая материалы, предоставляются гарантии. Услуги оказываются не только по столице, но и области, на любом грунте: песке, глине и др. Монтаж септиков различной сложности, а также с подключением бани или дачи, переливом, любых соединений. Есть возможность вызвать целую бригаду специалистов на малый участок либо дачу, на которой вы проживаете время от времени или постоянно. Монтажные работы в ограниченные сроки. Во время монтажных работ учитывается то, сколько человек проживает в доме, особенности – о них поведает консультант. Теперь и вы сможете заказать высококлассные работы.
×