Сергей Ильин

Антивирус в нулевом цикле ОС

В этой теме 25 сообщений

Часто приходится слышать о том, что якобы один антивирус работает "полностью" на уровне R0 (нулевой цикл) операционки, а другие нет.

Вот, например, недавнее высказывание по этому поводу представителя Доктора Веба (как часто бывает стеб над КАВом):

"в KAV нет R0 антивируса. у него все на уровне пользователя, что есть большая потенциальная дыра, которую пытаются заткнуть тем что хакерскими методами не дают остановить R3 приложение. ну не смогли так не смогли - зато прекрасно показывает видеофильмы и анимирует иконки. каждому свое"

http://sysadmin.mail.ru/pforum/viewtopic.php?t=4687

Насколько я напримаю, драйвер любого АВ работает на уровне R0, тогда о чем же идет речь, в чем разница?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Если полностью АВ в Р0 - как Нод или дрвеб - то сканирует файлы драйвер. в случае ошибки падает вся ОС.

Большенство АВ ставять только драйвера перехватчики а сам сканирующий движок находится в Р3.

Первые начинают проверку почти сразу после запуска ядра, вторые - уже когда почти все загрузилось - стартуют как сервисы

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кстати, как я понял недавно Symantec объявил об обновлении движка:

Речь я так понимаю идет о том, что появилось в 5 версии, все это написано красиво, но по-моему так пишут все, а вот как это работает с технической точки зрения неизвестно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

они пошли дальше и вручную разбирают ntfs на диске?

Добавлено спустя 3 минуты 5 секунд:

Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

можно было спросить его лично вчера на mail.ru

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

У меня нет нужных знаний.Говорю из того,что дошло из журналов,интернета,а так же здесь прочитал.

Р3 - это уязвимо сразу при первом же недетект. вирусе.Нужна защита.Всё равно ещё драйвер(?).Падает при ошибке так же всё.Возможно,Др.Веб этот путь сократил.Какая технология,с учётом сопутствующих,лучше,могли бы знать только(?) если одна и та же команда одинаково (не)предвзято оба варианта с одинаковым желанием тестирует для выборки одного для себя.В конечном итоге решают больше факторов,чем этот отдельно взятый и это ещё не последняя точка.Да и зачем?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

На сколько я помню он всегда там работал Ж)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
можно было спросить его лично вчера на mail.ru

Так собственно я там это и прочитал :-)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Р3 - это уязвимо сразу при первом же недетект. вирусе.Нужна защита.Всё равно ещё драйвер(?).

P3 означает, что автору вируса проще деактивировать резидентный монитор и не более того. Если весь антивирус запихнуть в P0, это не значит, что злобный вирус с ним не справится. Есть много способов испортить жизнь антивирусу. Из простейших: Заблокировать работу обновлений. То есть, если антивирус пропустил такую бяку, то бяка так и останется в системе, так как анитвирус не сможет обновиться.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Какой АВ держит планку выше по собственной защищённости для пользователя типа меня,который только с ограниченного аккоунта выходит,КАВ.5(Р3) с мотором в Р3 и ли КАВ.5(Р0) с мотором в Р0?Берём,что та же защита,что сегодня там для Р3,действует так же на Р0 в новом примере ну и так же подзаточена.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Какой АВ держит планку выше по собственной защищённости для пользователя типа меня,который только с ограниченного аккоунта выходит,КАВ.5(Р3) с мотором в Р3 и ли КАВ.5(Р0) с мотором в Р0?Берём,что та же защита,что сегодня там для Р3,действует так же на Р0 в новом примере ну и так же подзаточена.

По собственной защищённости выше планку держит КАВ 6.0 с его самозащитой. При этом никто весь антивирус в нулевое кольцо не пихал, видать, это не единственный способ =) Когда Данилов говорит о работе др.Веба в нулевом кольце, он подчёркивает не самозащищённость, а более ранний запуск защиты. Его защита запускается вместе с драйверами, а не вместе с сервисами. Интересно было бы услышать, насколько этот плюс значим.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Я не знаю,как там с КАВ6 выглядит.Исхожу,что в Р3 (иначе под заголовок только 5-ка для разговора подходит).То есть,беру я мотор КАВ6 и перемещаю в Р0 из Р3 (и на туда защиту перерасчитываю со всем,что не совсем лишнее оказывается) и всё остальное - под аккоунт Админа,а не Хотькто,то не выходит ли,что вирусу,если он до Р0 хочет,сначала надо дыру найти в Виндовсе (я/он - в огранич. аккоунте),что может быть уже невозможно?Разве это не дополнительная стена по сравнению с Р3 само по себе в смысле самозащиты?И если дыры нет,то и стена для вира из огран.аккоунта непробиваема.Остаются только недочёты в программировании,но это я не рассматриваю,так как и для Р3 этот фактор одинаково действует.Разница такая,что уже Админпроцесс я сбить не могу,а также ни в какую другую папку нет доступа,которую из Хотького к Админу перенесли.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Интересно было бы услышать, насколько этот плюс значим.

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Интересно было бы услышать, насколько этот плюс значим.

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

В теории плюс в том, что зловред не сможет запуститься раньше антивируса. Ведь если зловред запустился раньше, он может не дать антивирусу стартануть. На мой взгляд, это не такое уж значимое преимущество, потому что зловреду нужно сперва проникнуть в систему. Если антивирус его не знает, то он не заблокирует его ни во время проникновения, ни во время загрузки системы - так что тут нас не спасёт драйвер. А если знает, то зловред будет убит ещё в момент проникновения. То есть остаётся только вариант проникновения в период отключения защиты... Кто-то ещё хочет высказаться? =)

Добавлено спустя 5 минут 27 секунд:

То есть,беру я мотор КАВ6 и перемещаю в Р0 из Р3 (и на туда защиту перерасчитываю со всем,что не совсем лишнее оказывается) и всё остальное - под аккоунт Админа,а не Хотькто,то не выходит ли,что вирусу,если он до Р0 хочет,сначала надо дыру найти в Виндовсе (я/он - в огранич. аккоунте),что может быть уже невозможно?Разве это не дополнительная стена по сравнению с Р3 само по себе в смысле самозащиты?

В любом случае, если вирус хочет проникнуть в ринг0, ему нужно очень постараться. И если у него получится, то антивирус в принципе будет бессилен, так как в ринг0 он, насколько я знаю, проверок никаких не делает, иначе система будет тормозить по-дикому. Но лёгкость проникновения в ринг0 имхо никак не зависит от того, сидит ли весь антивирус в драйвере или нет.

А самозащита антивируса тоже не увеличится от переноса его целиком в драйвер. Достаточно того, что сама самозащита через драйвер работает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Имеешь ввиду,если недетект. вирус уже в огран. аккоунте со мной и имеет дальнешую цель,то он адмни/системпроцесс также может легко защекотать до упада,как и текущий можновсем процесс?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Имеешь ввиду,если недетект. вирус уже в огран. аккоунте со мной и имеет дальнешую цель,то он адмни/системпроцесс также может легко защекотать до упада,как и текущий можновсем процесс?

А, нет, если ты в ограниченном аккаунте сидишь, то вирус в любом случае не сможет сделать больше, чем можно ограниченному аккаунту. Но это к делу не относится. Я говорю, что если вирус не детектируется, то неважно запустится ли он раньше антивируса или позже - его антивирус всё равно не оставновит, ибо не знает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
то неважно запустится ли он раньше антивируса или позже - его антивирус всё равно не оставновит, ибо не знает.

Согласен, в этом случае разницы нет.

А что если такая ситуация: вирус внедрился в систему, когда еще не был известен, но выносить АВ не стал (или не смог), тогда при обновлении АВ захочет его удалить, но если вирус будет находиться в Р0 сможет ли он это сделать?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
А что если такая ситуация: вирус внедрился в систему, когда еще не был известен, но выносить АВ не стал (или не смог), тогда при обновлении АВ захочет его удалить, но если вирус будет находиться в Р0 сможет ли он это сделать?

Здесь, видимо, всё зависит от вируса. Если вирус захочет себя защитить, у него это скорее всего выйдет. Он по-идее может вообще снять перехватчики антивируса и поставить туда свои, если пожелает... Может залочить свои файлы запросто и никто их не удалит, потому что вирус будет стартовать вместе с драйвером - и даже если антивирус тоже стартует вместе с драйвером, где гарантия, что его драйвер стартанёт раньше... Короче говоря, проникновение на ринг0 - это беда для антивируса, независимо от того, где он сидит. Имхо. И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка). А если уже проник, то на то есть аварийный диск.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка).

И для этого так же с непробиваемого (если дыр больше не осталось) ограниченного аккоунта выплывать (ну нигде об этом не говорят).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Интересно было бы услышать' date=' насколько этот плюс значим.[/quote']

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

В теории плюс в том, что зловред не сможет запуститься раньше антивируса.quote]

Теперь надо вспомнить что спайдер работает в "оптимальном режиме - не проверяет файлы при открытии и запуску" следовательно преимущество нулевое.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Имеешь ввиду,что у него нет защиты в реалтайме,только вручную скан,или как?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

Что, серъёзно?! Хм... Это ж дыра! Юзер не защищён даже от элементарного случая, когда вирус проникает на комп чуть раньше обновления баз...=(

Добавлено спустя 3 минуты 22 секунды:

И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка).

И для этого так же с непробиваемого (если дыр больше не осталось) ограниченного аккоунта выплывать (ну нигде об этом не говорят).

Кстати, Микрософт говорит. Читал где-то на сайте у них рекомендацию сидеть под аккаунтом юзера. Только вот работать так, мягко говоря, неудобно...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

Да,это так и есть.Я что-то не подумал сразу про дефолт.Я то себе (знакомым тоже,это остаются только те,кто сам инсталлирует и совсем не разбирается и некого позвать,домохозяики с мужьями к ним обычно не относятся,другие зовут меня) всё равно всегда переставляю везде и в конечном итоге имею,что я поставил.Таким образом,спайдер в конечном итоге и при открытии проверяет.Это для меня аргумент,что прога может делать и делает мне,а не дефолт.

Кстати, Микрософт говорит. Читал где-то на сайте у них рекомендацию сидеть под аккаунтом юзера. Только вот работать так, мягко говоря, неудобно...

Под ограниченным аккоунтом писать можно,копировать на принтере тоже,фотки переделывать,видики так же,музыку слушать,всё это сгружать или конвертировать,на CD всё это записывать в инете лазить и многое другое,где не нужно проги инсталлировать,а только уже инсталлированными пользоваться и их работой загружать.Это специально для того,что бы не дать новому,недетектируемуму вирусу прав на инсталлирование в систему (Р0 - любимое место руткитов и любых сильных вирусов,работать с ними пользователю будет бесполезно),а также это не даёт прав новому,ещё недетектируемуму вирусу что-нибудь в системе стереть или сбить либо коррумпировать защитную прогу (смотря,где эта прога).Что TiX выходит в инет под Админом,чтобы систему специально ослабить и стенку убрать перед вирусами для проверки АВ,это он уже писал,если я с другим не путаю.Но это же один случай действительной необходиости из тысячи.У остальных (ну,типа меня) обратная цель.По мне я и меряю.Всем знакомым советую под огран.аккоунтом работать,никому не помешало ничем.Это больше дело привычки.Для инсталирования проги или апдейтования Виндовса перехожу на безвирусного Админа.Больше он мне не нужен.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Факт на сегодня,что КАВ больше вирусов детектирует.Я,с учётом весомых достоинств и опасных недостатков каждого,не назвал бы ни одного лучшим по сумме результатов.Кто не очень разбирается,может выбирать по цвету - не ошибётся ни с одним,а кто побольше немного поймёт,тому придётся выбирать,с каким слабым пунктом он согласен жить.

Вообще,это,по моему,чисто новая русская психология (сам удивляюсь).За границей радуются открытием новых предприятий,даже если такие уже есть,потому что это означает,что больше таких,как я,сами зарабатывают на жизнь,а не сидят на иждивении (налоге) у всех,а также работающий (заработок - везде больная тема,как и при коммунизме было),скорее всего,не будет думать о продаже наркотиков,сутенёрстве и прочем вредительсве (вирусы выдумывать) и заработке на несчастьях других.Только в России,похоже,наоборот и чем больше возможностей чистые деньги заработать и не вредя продержаться передавлено,тем больше и радость победы.Возможно,что перебарщиваю.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • Wenderoy
      Обновляю: https://mega.nz/#!0FYBnRzT!Kh8GaRMVOzm99QJZX0NsDD51vDaFzPI-Vil02kw53rQ
    • Sergey22101979s
      Площадку надо свою делать и развивать её. А потом продавать места на ней. И не важно какую площадку - сайт, группу в соцсети, или что-то тому подобное.
    • homeobed
      На дому за копейки работать - дело нехитрое) Вот чтобы зарабатывать приличные деньги, на одних комментариях далеко не уедешь)
    • Mike
      Вышел McAfee VirusScan Enterprise 8.8.0 Patch 10  
    • Wenderoy
      Да, лучше удалить. Но это, разумеется, решает администрация... Я никакой не тролль, ANDYBOND прекрасно это понимает, просто именно с ним был разлад безо всякой причины, подробности приводить не буду, но теперь он старается как можно больше "навредить" мне. Собственно, вот отзывы про PS - https://www.mywot.com/ru/scorecard/provisionsecurity.ru Думаю, комментарии будут излишними. Есть очень много свидетелей, которых "примерная" администрация Provisionsecurity даже "поливала" нецензурной лексикой, у меня есть все скриншоты и т. д. И после всего этого надо подумать, а стоит ли верить таким людям? Это я в качестве отступления. Главное - то, что я устал здесь распинаться, тратя свое личное время, что идет только на руку уже упомянутым участниками форума. Все, что мне надо было доказать, я доказал, пользователи моего приложения знают и понимают мои цели и стремления, я ни от кого ничего не скрываю. Поэтому программу уже используют многие, а это значит, что дело поставлено на рельсы. Самое смешное, что на каждый мой аргумент, который я не поленился снабдить всей необходимой информацией в форме ссылок, скриншотов, записей, копий писем, сообщений лабораторий etc, в ответ мне летят одни и те же фразы: "мошенник", "вирусописатель", "тролль". Так кто же больше попадает под значение последнего слова? Просто упомяну еще пару вещей. Когда я объяснял, почему продукт детектит пустой файл, все равно меня никто не слышал. Каким же, интересно, образом мне следует растолковать это? Были приведены доказательства, что я часть баз собираю с ресурса VirusShare (благо, имеются очень хорошие источники самой разнообразной информации), где AVP в свое время почему-то пометил файл как Trojan... (где-то на предыдущих страницах все чрезвычайно подробно описано). Так вот, копируя MD5, в комплект попала и хеш-сумма пустого файла, вследствие чего как бы Вы его ни переименовывали, все рано будет сработка продукта (кстати, ее уже нет). Далее. Насчет "мошенник" и "вирусописатель". Если зимние переписки (не просто отчетов автоматического анализа лабораторий) с вирусным аналитиком McAfee ни о чем Вам не говорят, это, как говорится, не мои проблемы. Другие вендоры, да практически все (даже популярные Avast, Qihoo и др.) устанавливаются втихомолку вместе с другим ПО (DRP Solutions, различные дополнения для монетизации в пакеты дистрибутивов), но их Вы почему-то "вирусописателями"  не называете. И последнее. Насчет "мошенник". Я никого не принуждаю устанавливать KAR, каждый делает это добровольно. Лицензионное соглашение и Privacy Statment присутствуют на сайте, там все четко и ясно описано. На сервер высылаются исключительно анонимные отчеты, как и в любых других разработках аналогичного типа, не более того.  Kuranin Anti-Ransomware распространяется абсолютно бесплатно, никакой рекламы ни в продукте, ни даже на сайте, т. к. это мое хобби. Поэтому здесь не вижу ничего, связанного с мошенничеством. Это очень краткое обобщение, все мои подробные ночные отписки на однотипные бессмысленные сообщения можно посмотреть, листая предыдущие ни много ни мало двенадцать страниц. @VMS, радует, что еще есть адекватные люди, которые умеют слушать. Да, к сожалению, это не те времена, когда жизнь кипела в каждом уголке Anti-Malware и других подобных форумов. Обидно, что перевились разработчики-добровольцы, которые были очень активны в 2004-2014 годах. Сейчас в основном крупные компании все вытеснили, да есть те, кто просто сдался (Александр Калинин, его судьба мне не известна, но смею предположить, что он воплотил свое хобби в жизнь; Kerish, который, правда, стал чрезвычайно полезной утилитой Kerish Doctor, а ведь совсем немногие знают прошлое этого творения; ScreamAV, бесплатныq антивирус то ли из Индонезии, то ли с Филиппин; путем долгого анализа удалось выяснить, что создатели данного антивируса примкнули к проекту SmadAV;  SMK антивирус, когда-то известный в узких кругах; "Зоркий глаз" Петелина Александра;  AWS Core, приостановивший свое развитие и т. п.) Вообще обожаю древние сайты, особенно варианты на narod.ru и им подобные, пропахшие стариной и историей. Очень приятные ощущения, как будто бы открыл давно забытую, но вновь найденную на чердаке книгу с пожелтевшими от времени листами.  А еще очень много полезных ресурсов, которых уже нет, но они сохранились в "архиве". Все это "богатство" сложно отыскать, но зато там есть чрезвычайно много полезной информации... Вот, кстати, один из примеров: https://web.archive.org/web/20040905203536/http://www.winchanger.narod.ru:80/ Или https://web.archive.org/web/20070624081145/http://winchanger.whatis.ru:80/ Как бонус прилагаю собственную коллекцию малоизвестных продуктов любителей информационной безопасности, среди них, кстати, все вышеупомянутые образцы! https://mega.nz/#!tZBkkCKa!0WzfYt4A1zK4aCvVLtu3FLt7pfPIp7wWtyPIr9c-cbo Может, кому пригодится...