Сергей Ильин

Антивирус в нулевом цикле ОС

В этой теме 25 сообщений

Часто приходится слышать о том, что якобы один антивирус работает "полностью" на уровне R0 (нулевой цикл) операционки, а другие нет.

Вот, например, недавнее высказывание по этому поводу представителя Доктора Веба (как часто бывает стеб над КАВом):

"в KAV нет R0 антивируса. у него все на уровне пользователя, что есть большая потенциальная дыра, которую пытаются заткнуть тем что хакерскими методами не дают остановить R3 приложение. ну не смогли так не смогли - зато прекрасно показывает видеофильмы и анимирует иконки. каждому свое"

http://sysadmin.mail.ru/pforum/viewtopic.php?t=4687

Насколько я напримаю, драйвер любого АВ работает на уровне R0, тогда о чем же идет речь, в чем разница?

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Если полностью АВ в Р0 - как Нод или дрвеб - то сканирует файлы драйвер. в случае ошибки падает вся ОС.

Большенство АВ ставять только драйвера перехватчики а сам сканирующий движок находится в Р3.

Первые начинают проверку почти сразу после запуска ядра, вторые - уже когда почти все загрузилось - стартуют как сервисы

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кстати, как я понял недавно Symantec объявил об обновлении движка:

Речь я так понимаю идет о том, что появилось в 5 версии, все это написано красиво, но по-моему так пишут все, а вот как это работает с технической точки зрения неизвестно.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

они пошли дальше и вручную разбирают ntfs на диске?

Добавлено спустя 3 минуты 5 секунд:

Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

можно было спросить его лично вчера на mail.ru

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

У меня нет нужных знаний.Говорю из того,что дошло из журналов,интернета,а так же здесь прочитал.

Р3 - это уязвимо сразу при первом же недетект. вирусе.Нужна защита.Всё равно ещё драйвер(?).Падает при ошибке так же всё.Возможно,Др.Веб этот путь сократил.Какая технология,с учётом сопутствующих,лучше,могли бы знать только(?) если одна и та же команда одинаково (не)предвзято оба варианта с одинаковым желанием тестирует для выборки одного для себя.В конечном итоге решают больше факторов,чем этот отдельно взятый и это ещё не последняя точка.Да и зачем?

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

На сколько я помню он всегда там работал Ж)

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
можно было спросить его лично вчера на mail.ru

Так собственно я там это и прочитал :-)

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Р3 - это уязвимо сразу при первом же недетект. вирусе.Нужна защита.Всё равно ещё драйвер(?).

P3 означает, что автору вируса проще деактивировать резидентный монитор и не более того. Если весь антивирус запихнуть в P0, это не значит, что злобный вирус с ним не справится. Есть много способов испортить жизнь антивирусу. Из простейших: Заблокировать работу обновлений. То есть, если антивирус пропустил такую бяку, то бяка так и останется в системе, так как анитвирус не сможет обновиться.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Какой АВ держит планку выше по собственной защищённости для пользователя типа меня,который только с ограниченного аккоунта выходит,КАВ.5(Р3) с мотором в Р3 и ли КАВ.5(Р0) с мотором в Р0?Берём,что та же защита,что сегодня там для Р3,действует так же на Р0 в новом примере ну и так же подзаточена.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Какой АВ держит планку выше по собственной защищённости для пользователя типа меня,который только с ограниченного аккоунта выходит,КАВ.5(Р3) с мотором в Р3 и ли КАВ.5(Р0) с мотором в Р0?Берём,что та же защита,что сегодня там для Р3,действует так же на Р0 в новом примере ну и так же подзаточена.

По собственной защищённости выше планку держит КАВ 6.0 с его самозащитой. При этом никто весь антивирус в нулевое кольцо не пихал, видать, это не единственный способ =) Когда Данилов говорит о работе др.Веба в нулевом кольце, он подчёркивает не самозащищённость, а более ранний запуск защиты. Его защита запускается вместе с драйверами, а не вместе с сервисами. Интересно было бы услышать, насколько этот плюс значим.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Я не знаю,как там с КАВ6 выглядит.Исхожу,что в Р3 (иначе под заголовок только 5-ка для разговора подходит).То есть,беру я мотор КАВ6 и перемещаю в Р0 из Р3 (и на туда защиту перерасчитываю со всем,что не совсем лишнее оказывается) и всё остальное - под аккоунт Админа,а не Хотькто,то не выходит ли,что вирусу,если он до Р0 хочет,сначала надо дыру найти в Виндовсе (я/он - в огранич. аккоунте),что может быть уже невозможно?Разве это не дополнительная стена по сравнению с Р3 само по себе в смысле самозащиты?И если дыры нет,то и стена для вира из огран.аккоунта непробиваема.Остаются только недочёты в программировании,но это я не рассматриваю,так как и для Р3 этот фактор одинаково действует.Разница такая,что уже Админпроцесс я сбить не могу,а также ни в какую другую папку нет доступа,которую из Хотького к Админу перенесли.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Интересно было бы услышать, насколько этот плюс значим.

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Интересно было бы услышать, насколько этот плюс значим.

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

В теории плюс в том, что зловред не сможет запуститься раньше антивируса. Ведь если зловред запустился раньше, он может не дать антивирусу стартануть. На мой взгляд, это не такое уж значимое преимущество, потому что зловреду нужно сперва проникнуть в систему. Если антивирус его не знает, то он не заблокирует его ни во время проникновения, ни во время загрузки системы - так что тут нас не спасёт драйвер. А если знает, то зловред будет убит ещё в момент проникновения. То есть остаётся только вариант проникновения в период отключения защиты... Кто-то ещё хочет высказаться? =)

Добавлено спустя 5 минут 27 секунд:

То есть,беру я мотор КАВ6 и перемещаю в Р0 из Р3 (и на туда защиту перерасчитываю со всем,что не совсем лишнее оказывается) и всё остальное - под аккоунт Админа,а не Хотькто,то не выходит ли,что вирусу,если он до Р0 хочет,сначала надо дыру найти в Виндовсе (я/он - в огранич. аккоунте),что может быть уже невозможно?Разве это не дополнительная стена по сравнению с Р3 само по себе в смысле самозащиты?

В любом случае, если вирус хочет проникнуть в ринг0, ему нужно очень постараться. И если у него получится, то антивирус в принципе будет бессилен, так как в ринг0 он, насколько я знаю, проверок никаких не делает, иначе система будет тормозить по-дикому. Но лёгкость проникновения в ринг0 имхо никак не зависит от того, сидит ли весь антивирус в драйвере или нет.

А самозащита антивируса тоже не увеличится от переноса его целиком в драйвер. Достаточно того, что сама самозащита через драйвер работает.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Имеешь ввиду,если недетект. вирус уже в огран. аккоунте со мной и имеет дальнешую цель,то он адмни/системпроцесс также может легко защекотать до упада,как и текущий можновсем процесс?

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Имеешь ввиду,если недетект. вирус уже в огран. аккоунте со мной и имеет дальнешую цель,то он адмни/системпроцесс также может легко защекотать до упада,как и текущий можновсем процесс?

А, нет, если ты в ограниченном аккаунте сидишь, то вирус в любом случае не сможет сделать больше, чем можно ограниченному аккаунту. Но это к делу не относится. Я говорю, что если вирус не детектируется, то неважно запустится ли он раньше антивируса или позже - его антивирус всё равно не оставновит, ибо не знает.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
то неважно запустится ли он раньше антивируса или позже - его антивирус всё равно не оставновит, ибо не знает.

Согласен, в этом случае разницы нет.

А что если такая ситуация: вирус внедрился в систему, когда еще не был известен, но выносить АВ не стал (или не смог), тогда при обновлении АВ захочет его удалить, но если вирус будет находиться в Р0 сможет ли он это сделать?

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
А что если такая ситуация: вирус внедрился в систему, когда еще не был известен, но выносить АВ не стал (или не смог), тогда при обновлении АВ захочет его удалить, но если вирус будет находиться в Р0 сможет ли он это сделать?

Здесь, видимо, всё зависит от вируса. Если вирус захочет себя защитить, у него это скорее всего выйдет. Он по-идее может вообще снять перехватчики антивируса и поставить туда свои, если пожелает... Может залочить свои файлы запросто и никто их не удалит, потому что вирус будет стартовать вместе с драйвером - и даже если антивирус тоже стартует вместе с драйвером, где гарантия, что его драйвер стартанёт раньше... Короче говоря, проникновение на ринг0 - это беда для антивируса, независимо от того, где он сидит. Имхо. И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка). А если уже проник, то на то есть аварийный диск.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка).

И для этого так же с непробиваемого (если дыр больше не осталось) ограниченного аккоунта выплывать (ну нигде об этом не говорят).

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Интересно было бы услышать' date=' насколько этот плюс значим.[/quote']

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

В теории плюс в том, что зловред не сможет запуститься раньше антивируса.quote]

Теперь надо вспомнить что спайдер работает в "оптимальном режиме - не проверяет файлы при открытии и запуску" следовательно преимущество нулевое.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Имеешь ввиду,что у него нет защиты в реалтайме,только вручную скан,или как?

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

Что, серъёзно?! Хм... Это ж дыра! Юзер не защищён даже от элементарного случая, когда вирус проникает на комп чуть раньше обновления баз...=(

Добавлено спустя 3 минуты 22 секунды:

И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка).

И для этого так же с непробиваемого (если дыр больше не осталось) ограниченного аккоунта выплывать (ну нигде об этом не говорят).

Кстати, Микрософт говорит. Читал где-то на сайте у них рекомендацию сидеть под аккаунтом юзера. Только вот работать так, мягко говоря, неудобно...

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

Да,это так и есть.Я что-то не подумал сразу про дефолт.Я то себе (знакомым тоже,это остаются только те,кто сам инсталлирует и совсем не разбирается и некого позвать,домохозяики с мужьями к ним обычно не относятся,другие зовут меня) всё равно всегда переставляю везде и в конечном итоге имею,что я поставил.Таким образом,спайдер в конечном итоге и при открытии проверяет.Это для меня аргумент,что прога может делать и делает мне,а не дефолт.

Кстати, Микрософт говорит. Читал где-то на сайте у них рекомендацию сидеть под аккаунтом юзера. Только вот работать так, мягко говоря, неудобно...

Под ограниченным аккоунтом писать можно,копировать на принтере тоже,фотки переделывать,видики так же,музыку слушать,всё это сгружать или конвертировать,на CD всё это записывать в инете лазить и многое другое,где не нужно проги инсталлировать,а только уже инсталлированными пользоваться и их работой загружать.Это специально для того,что бы не дать новому,недетектируемуму вирусу прав на инсталлирование в систему (Р0 - любимое место руткитов и любых сильных вирусов,работать с ними пользователю будет бесполезно),а также это не даёт прав новому,ещё недетектируемуму вирусу что-нибудь в системе стереть или сбить либо коррумпировать защитную прогу (смотря,где эта прога).Что TiX выходит в инет под Админом,чтобы систему специально ослабить и стенку убрать перед вирусами для проверки АВ,это он уже писал,если я с другим не путаю.Но это же один случай действительной необходиости из тысячи.У остальных (ну,типа меня) обратная цель.По мне я и меряю.Всем знакомым советую под огран.аккоунтом работать,никому не помешало ничем.Это больше дело привычки.Для инсталирования проги или апдейтования Виндовса перехожу на безвирусного Админа.Больше он мне не нужен.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Факт на сегодня,что КАВ больше вирусов детектирует.Я,с учётом весомых достоинств и опасных недостатков каждого,не назвал бы ни одного лучшим по сумме результатов.Кто не очень разбирается,может выбирать по цвету - не ошибётся ни с одним,а кто побольше немного поймёт,тому придётся выбирать,с каким слабым пунктом он согласен жить.

Вообще,это,по моему,чисто новая русская психология (сам удивляюсь).За границей радуются открытием новых предприятий,даже если такие уже есть,потому что это означает,что больше таких,как я,сами зарабатывают на жизнь,а не сидят на иждивении (налоге) у всех,а также работающий (заработок - везде больная тема,как и при коммунизме было),скорее всего,не будет думать о продаже наркотиков,сутенёрстве и прочем вредительсве (вирусы выдумывать) и заработке на несчастьях других.Только в России,похоже,наоборот и чем больше возможностей чистые деньги заработать и не вредя продержаться передавлено,тем больше и радость победы.Возможно,что перебарщиваю.

0

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • PR55.RP55
      Demkd 1) По хорошему нужно чтобы uVS добавлял в список все ( исполняемые ) файлы из корня системного диска. Пример тема: http://www.tehnari.ru/f35/t253394/ 2) Увеличить меж строчный интервал. C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\HUN.DLL
      C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\HYE.DLL
      C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\IND.DLL
      C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\ITA.DLL
      C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\JPN.DLL До: C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\HUN.DLL C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\HYE.DLL C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\IND.DLL C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\ITA.DLL C:\PROGRAM FILES\DAEMON TOOLS ULTRA\LANG\JPN.DLL   Во втором случае работать легче - записи не сливаются в одно целое.  
    • tk-test
      Мой знакомый тоже попал в такую ситуацию. Все файлы были зашифрованы и для получения кода расшифровки требовали большую сумму в долларах. Конечно же информация того не стоила и пришлось с ней проститься.
    • Wenderoy
    • Wenderoy
      Антивирус Куранина - это защитный программный комплекс, разрабатываемый и поддерживаемый компанией KurSecurityProtection с декабря 2014 года. Текущая версия - 1.8.3.5 beta (New Age Edition).
      Содержание История
      Компоненты
      Разработка
      См. также
      Ссылки
      История Первая версия программы была выпущена 16 декабря 2014 года и представляла собой утилиту "KurPure" для лечения активного заражения вредоносным программным обеспечением класса Trojan.Virut. Впоследствии приложение претерпело значительные изменения и стало полноценным антивирусом с резидентной защитой.
      Компоненты — Базовая (Basic) и эвристическая защиты в режиме реального времени — нет необходимости вручную сканировать каждый файл на предмет зловредности  — Защита и оптимизация реестра системы в режиме реального времени  — Защита от потенциально нежелательных программ из сети Интернет  — Защита USB/CD/DVD съемных носителей от заражения autorun-зловредами  — Легкая и неощутимая работа программы («установил и забыл»)  — Оптимизация жесткого диска компьютера  — Двухъядерная система защиты данных (Basic Engine и «Ano» protection)  — Уникальная технология «Ano» protection для выявления даже неизвестных вирусов  — Защита Интернет-соединения  — Защита от фишинговых, мошеннических и вредоносных веб-ресурсов  — HIPS (поведенческий) анализатор  — Мощный сетевой экран для предотвращения вторжений извне  — Наличие антишпиона/виртуальной клавиатуры  — Возможность использования на серверах и в корпорациях  — Возможность централизованного управления  — Большое количество полезных утилит безопасности  — Возможность работы с Proxy-сервером  — Защита от подмены системных файлов  — Защита от вредоносных библиотек и драйверов  — Комплексная защита автозагрузки системы  — Встроенный монитор реестра, основная задача которого заключается в отслеживании изменения критических записей и основных системных веток реестра  — Система «коллективного разума» — Cloud Protection, основанная на облачных методах безопасности данных  — Ежедневное обновление вирусных сигнатур  — Поддержка всех популярных операционных систем семейства Windows NT  — Защита от DoS и DDoS атак в реальном времени  — Встроенный антикейлоггер (AntiKeylogger)  — Очистка временных («мусорных») файлов ОС  — Наличие качественной самозащиты от выгрузки сторонними процессами  — Контроль карантина с возможностью восстановления объектов из хранилища  — Возможность защиты паролем настроек продукта  — Ведение лог-файла для удобства пользователя  — Флэш-вакцинация — «прививка» от наиболее распространенных USB червей  — Технология ускоренного сканирования файлов только по их заголовку  — Наличие собственной разработки — «файлового ревизора»  — Предотвращение посещения IP логгеров и других нежелательных веб-сайтов  — Родительский контроль с тонкими настройками  — Возможность смены интерфейса центра управления  — Наличие «игрового режима» без уведомлений (антивирус будет самостоятельно принимать оптимальное решение касательно угрозы)  — Параметры файлового контроля с добавлением исключений (в т. ч. возможность добавления литеров носителей в исключения проверки)  — Настройка политики обработки угрозы по умолчанию  — Модуль персональной защиты важных файлов (усиленная защита от троянских программ класса Crypto)  — Возможность управления звуковыми эффектами при оповещении (в т. ч. полное отключение музыкального сопровождения)  — Наличие центра управления отчетами антивируса в процессе работы  — Вторичный брандмауэр «Плутон» (работает по умолчанию)  — Защита всех протоколов сети (включая Wi-Fi)  — Ежедневные обновления двигателя и модулей программы  — Возможность обновления с локального сервера/других носителей информации  — Обновление антивирусных сигнатур/версии программы без доступа в сеть Интернет  — Безопасный ввод данных с обычной клавиатуры (Антишпион)  — Защита от модификации системных файлов и других критических объектов  — Предотвращение установки вредоносных драйверов  — Возможность перехода на на новую версию антивируса без переустановки  — Очистка временных («мусорных») файлов Windows  — Простой и интуитивно понятный интерфейс 
      Разработка Автор антивирусного пакета - Куранин Илья. Программа распространяется по принципу Freeware (бесплатно). Находится в активной разработке. Использованные языки программирования - C++, Visual Basic 6.0, Command Line, Visual Basic Script, Delphi. Антивирус имеет закрытый исходный код.
      Kuranin Antivirus Официальный сайт - https://kuranin.net
    • AM_Bot
      В статье рассказывается об основах создания криминалистических копий носителей информации. Приводится пошаговая инструкция: как извлечь жесткий диск из ноутбука и сделать его криминалистическую копию с помощью доступного специализированного программного обеспечения. Читать далее