Закрытые темы - Страница 8 - Свободное общение - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

Maratka
Зачем в машине на спидометре написано 240, если реально по дороге до работы больше 90 ездить нельзя? Нет детекта на этом семпле - будет на другом. Семпл аналитики изучат, выпустят апдейт модуля эвристики и появится детект. И он будет до тех пор, пока вирмейкеры не обратят на это внимание и не почистят пакер. Никакая эвристика не дает 100% детекта. Чем выше детект - тем выше риск увеличить процент f/p. Именно по этому кроме сигнатур, эвристиков есть еще женерики, хипс, песочницы и проч. Чтобы в случае, если не сработает один компонент - спасет другой. Видите - даже наличие урла в блэк листе спасает пользователя. Это тоже одна из ступеней защиты.

vaber, Yen-Jasker - это как Виталег, только хуже.

Виталег помешан на конкретном вендоре - антивирусописателе, ну в конце концов это тематика этого форума...

а у Yen-Jasker'а все гораздо запущеннее - он помешан на мировом заговоре маркетологов, ни больше, ни меньше :)

В данном случае маркетологи виноваты в плохой работе эмулятора - они заставили Yen-Jasker'а заплатить за эмулятор, но не предупредили его, что эмулятор не всесилен, и по определению не может детектить всЕ.

Теоритический продел продвинутого эмуля в индустрии уже достигнут - и мы с Вами, равно как и большинсово других нормальных пользователей это знаем (детект порядка 60-75%) от общего кол-ва зловредов в зависимости от предпочтений коллекционера.

Но Yen-Jasker'у это понять не дано - ему нужно все по максимуму, и так, чтобы не было ни единой баги...

При случае - раз Вы уже зарегистрировались на http://kltest.org.ru/index.php , спросите там про этого человека... много интересного узнаете. :(

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yen-Jasker
В данном случае Вы спутали эммулятор с проактивной защитой.

Проактивная защита - это такая штука, которая смотрит на поведенеи прогораммы в реальной системе, и по некоторым ключевым событиям срабатывает. В данном случае срабатывание было на попытку ФАРа самоскопирываться на сетевой ресурс - чем и занимаются черви. Пояснять что такое черви я с Вашего позволения не буду.

Я разве спрашивал что такое проактивная защита и как она работает :)?

Я могу рассказать это Вам, но Вы не поверите.

Впрочем попытаюсь....

Итак - если некий эвристик станет безошибочно детектить 100% зловредов без единого фалса, то

1) Это приведент к тому, что все остальные технологии, как то: сигнатуры, ПДМ, ХИПС станут неактуальными.

2) Это совершенно не устроит вирусописателей, ибо им за то деньги и платят, чтобы обходить антивири. И они свою работу делают. Потому этот эвристик рано или поздно будет обойден.

3) Что приведет к мировому коллапсу -ведь индустрия антвивирусописателей уже отказалась от ХИПСа и сигнатур.

Дошло?

Не дошло. Вместо длинного сообщения достаточно было написать что создать нефолсящий эвристик нереально.

Мировой коллапс вы нафантазировали - никто и никогда не откажется от сигнатур, а к ХИПСу еще не все пришли.

А если индустрия антивирусописателей откажется от маркетинга и фаллометрии на тестах - тогда наступит коллапс :).

В чуствительности, и скорости. Повышая чувствительность, мы увеличиваем количество продетекченных объектов и садим скорость.

На сколько отличаются уровни эвристики по этим показателям в скине по-умолчанию? Это можно было описать в Справке?

Если она у Вас не детектит реальные зловреды - то безуслово стОит отключить. Вы получите несколько бОльшую скорость проверки объектов.

Не у меня она не детектит, а у всех. Возьмите зловреды из этой темы и проверьте их с максимальным уровнем эвристики в скине по-умолчанию.

При случае - раз Вы уже зарегистрировались на http://kltest.org.ru/index.php , спросите там про этого человека... много интересного узнаете. :(

Лучше спросите как Марат там организовывал подставной опрос :).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Ползунок эвристики с тремя уровнями - тоже маркетинг.

Вам виднее ;)

Если аналитики изучат этого зловреда - они просто добавят его в базу, и апдейт модуля эвристики не будет нужен. После выхода новой модификации эвристика опять ничего не покажет.

ОТкуда такая уверенность, что сделают аналитики? Вы работали аналитиком, чтобы такое утверждать? Они могут положить сигнатуру - чтобы максимально быстро доставить пользователю апдейт. Накачают несколько десятков инсталляков и положат женерик. Или подправят модуль эвристика - и его выпустят. Но на это нужно много больше времени, чем положить сигнатуру. да, после выхода новой модификации малвары есть вероятность, что детект отвалится. Вы можете предложить способ детекта, чтобы детектить файлы этой малвары, чтобы там ни делали ее авторы?

ХИПС защищает, но зачем нужно три уровня эвристики - чтобы тормозила и давала повод троллям кричать "КИС - тормоз"?

Вероятно потому, что другие вредоносные программы могут детектироваться на минимальном уровне эвристике, другие на максимальном. Как-тоо так. Логика понимаете.

Если эвристика плохо ловит

Вы по единственному случаю делаете такие глубокомысленные выводы?

http://www.virustotal.com/analisis/324b639...1751-1246347934

Это что? Работает? Значит нужна.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka
Вот в том и фокус активного ESS4 увидит в памяти как Win32/Rootkit.Agent.ODG или Win32/Agent.ODG ,и эту штуку вирусопесателем не обойти проверено временем!!!

А Качпер2009-10 только опукается и нечего не увидить) Как минемум пока он в база не попадеть но из тем тогоже вирус инфо он удалить не могет и file.sys не увидить , а уж таких накриптуют автоматом... :P

иди спать, дети все уже в кроватке, и тебе пора....

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yen-Jasker
Виталег помешан на конкретном вендоре - антивирусописателе, ну в конце концов это тематика этого форума...

а у Yen-Jasker'а все гораздо запущеннее - он помешан на мировом заговоре маркетологов, ни больше, ни меньше :)

Марат, если я, как вы, начну ставить диагнозы, то вы и здесь поднимите вопрос "или я ухожу, или забаньте его".

Не лезьте туда где вы ничего не понимаете.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
vaber, Yen-Jasker - это как Виталег, только хуже.

Ясно :) Но попытку объяснить что-то я сделал =)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yen-Jasker
ОТкуда такая уверенность, что сделают аналитики? Вы работали аналитиком, чтобы такое утверждать? Они могут положить сигнатуру - чтобы максимально быстро доставить пользователю апдейт. Накачают несколько десятков инсталляков и положат женерик.

Пошлите зловреда в вирлаб и проверим :).

Вероятно потому, что другие вредоносные программы могут детектироваться на минимальном уровне эвристике, другие на максимальном. Как-тоо так. Логика понимаете.

Вероятно. А реальные примеры будут :)?

Вы мне привели детект на вируслисте, а я могу привести ошибочный детект двух зловредов в антивирусной базе, которые аналитики ЛК нарисовали с потолка.

У всех продуктов есть ошибки и везде маркетологи пиарятся, но это не значит что тот кто знает об этих ошибках - тролль.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka
Вы по единственному случаю делаете такие глубокомысленные выводы?

http://www.virustotal.com/analisis/324b639...1751-1246347934

Это что? Работает? Значит нужна.

Супер!

Я уже и забыл, когда видел детект эмуля "семерки", думал что ее уже все обходят... Ан нет!

Спасибо!

Марат, если я, как вы, начну ставить диагнозы, то вы и здесь поднимите вопрос "или я ухожу, или забаньте его".

Не лезьте туда где вы ничего не понимаете.

Ну коли я чего-то там не понимаю, то поясните что именно. Может другие пользователи нас с Вами рассудят?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
vaber
Пошлите зловреда в вирлаб и проверим smile.gif

Мне проверять не надо - я знаю что это так ;)

Вероятно. А реальные примеры будут smile.gif?

Вы хотите, чтобы я с целью утолить Ваше любопытство буду сейчас ставить Касперского и гонять его по семплам дергая ползунок? Наивно ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yen-Jasker
иди спать, дети все уже в кроватке, и тебе пора....

Плохо что эти дети становятся сотрудниками ЛК и пытаются обвинять других в троллизме.

Вы хотите, чтобы я с целью утолить Ваше любопытство буду сейчас ставить Касперского и гонять его по семплам дергая ползунок? Наивно ;)

Нет, я хочу, чтобы фича, три уровня эвристики, была нормально описана в Справке к продукту.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka
Не у меня она не детектит, а у всех. Возьмите зловреды из этой темы и проверьте их с максимальным уровнем эвристики в скине по-умолчанию.

Вот отличная ссылочка, Vaber подкинул:

http://www.virustotal.com/analisis/324b639...1751-1246347934

Оказывается древний эмуль в КАВ7 и то способен на детект.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yen-Jasker

Меня интересуют примеры из реальной жизни, а не из тестов. Потому что у каждого производителя найдется свой тест, где он - лучший.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka
Нет, я хочу, чтобы фича, три уровня эвристики, была нормально описана в Справке к продукту.

Опять козни маркетологов... Нет, ну так жить нельзя! Даже справку под заказ написать не могут...

приходится читать вместо этого что-то вроде:

heur.png

post-1077-1246394608_thumb.png

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

Yen-Jasker- так возьми и проведи тест сам,раз не веришь. А мы посмотрим и прокомментируем.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yen-Jasker
Оказывается древний эмуль в КАВ7 и то способен на детект.

Тогда почему нет детекта от KIS 8?

У вас при проверке объектов, со скином по-умолчанию, эвристикой на максимуме и углубленном поиске руткитов, этот зловред обнаруживается?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Skeptic
И хочется, и колется как говорится...

А можно спросить: зачем лично вам-то этот монстр на компе при правильно настроенной системе?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka
Меня интересуют примеры из реальной жизни, а не из тестов. Потому что у каждого производителя найдется свой тест, где он - лучший.

А кто сказал что мы тут лучшие?

У нас меньше процент детекта, чем у Авиры, и больше фалсов чем у Симентика...

Тогда почему нет детекта от KIS 8?

У вас при проверке объектов, со скином по-умолчанию, эвристикой на максимуме и углубленном поиске руткитов, этот зловред обнаруживается?

У меня не обнаруживается. Ибо он есть у Vaber'а, но не у меня.

В довесок - включенность поиска руткитов вообще и "углубленного поиска" в частности тут роли не играют. Кроме того, уверен, что КИС9 сожрет этого виря эмулем на среднем уровне, более того - даю процентов 80 вероятности, что и на минимальном.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yen-Jasker
Опять козни маркетологов... Нет, ну так жить нельзя! Даже справку под заказ написать не могут...

приходится читать вместо этого что-то вроде:

heur.png

Вы правильно сказали "что-то вроде". В Справке не описана разница между уровнями эвристика. Я знаю, Справка писалась для домохозяек :).

Лучше откройте раздел справки КИС 2010 "Значок в области уведомлений" :).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Danilka

Дайте мне тушку- скажу. У меня как раз 506 сборка стоит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yen-Jasker
Дайте мне тушку- скажу. У меня как раз 506 сборка стоит.

Я спутал нумерацию, КИС 2010 я назвал КИС 8. Но эксперимент интересный, сейчас вышлю тебе тушку.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka
Дайте мне тушку- скажу. У меня как раз 506 сборка стоит.

А нафига?

В восьмерке и девятке в общем то тот же скелет эмуля, но за счет некоторых ухищрений эмуль работает на 2 порядка быстрее. Потому ему очень часто не нужны высокие уровни для детекта чего-то там, что детектит КИС7 на максимальной настройке.

Вы правильно сказали "что-то вроде". В Справке не описана разница между уровнями эвристика. Я знаю, Справка писалась для домохозяек :).

Для знающих русский язык описано.

Или Вы не понимаете разницу между понятиями "детально/глубого" и "поверхностно"?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Guest MVRoot

Вот тема полутше KIS2009, там чегото про кав было)

http://virusinfo.info/showthread.php?t=45433

это я намекаю что такие есть(Эти-же) которые грохоют его вместе с самозашитой, а вообше КИС чаше работает но не чего не видит(у меня 2010 пропустила и хипся прозивала -а кис нечего не видела и неувидит), видно те вирусопесатели знают не меньше, а больше меня)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Ingener
А можно спросить: зачем лично вам-то этот монстр на компе при правильно настроенной системе?

Просто хочу себе в дополнение к Avira PSS9 подобрать какой-нибудь hips, который бы реально защищал и работал автоматически не задавая лишних вопросов - пока лучше DW я ничего не нашел...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Yen-Jasker
Для знающих русский язык описано.

Или Вы не понимаете разницу между понятиями "детально/глубого" и "поверхностно"?

Для знающих русский язык домохозяек этого достаточно.

Меня интересует конкретная разница, в цифрах. Насколько "глубокий" уровень отличается от "минимального" - в два раза меньше скорость или в 0,2 раза, какие технологии анализа применяются или не применяются на каждом из уровней?

Что значит "минимальный", "средний" и "глубокий" уровень в понимании ЛК и чем они отличаются?

ЛК писала Справку для домохозяек, но домохозяйки ее не читают, а для недомохозяек в Справке недостаточно информации :).

Хуже, недомохозяйки видят, что целый раздел Справки ЛК скопировала из КИС 2009 ("Значок в области уведомлений") и этот раздел вообще не актуален.

Но тестеры ЛК наверное тоже не читают Справку и никого не интересует какую старую неактуальную галиматью там увидит клиент.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×