Забавен краш-тест от сп. "Хакер" върху Pure и Security Space на Касперски и Др. Уеб. http://www.xakep.ru/post/54474/default.asp Между другото, офтопик, но слагйки фикс на нода се постига ефект подобен от 5-ия тест. Не баш същия, но нещо подобно. Така, че...

Редактирано 11 януари 201115 г. от metodidamianov (преглед на промените)

Забавен краш-тест от сп. "Хакер" върху Pure и Security Space на Касперски и Др. Уеб.

http://www.xakep.ru/...474/default.asp

Между другото, офтопик, но слагйки фикс на нода се постига ефект подобен от 5-ия тест. Не баш същия, но нещо подобно. Така, че...

Този link които си дал СlearCloud го блокира.Какво има там?

Този link които си дал СlearCloud го блокира.Какво има там?

Статия от списание. Списанието се казва "Хакер". Може някъде в кода на страницата да е споменато hacker, хм... Не знам защо го блокира...

Мога да я постна. Доста дълга е. Чаршаф някакъв ще стане.

Редактирано 11 януари 201115 г. от metodidamianov (преглед на промените)

Ако се съди, чисто, само по резултатите- "ударено е едно рамо" на финладците...малък бонус са им дали, за сметка на Авира! ......

Аз не мисля така, защото на F-Secure челните им места са по-важни от тези на Avira - Whole Product Dynamic Protection и Low False Positive Rate. Предполагам обръщат по-голямо внимание на фалшовете, където Авира далеч по-слаба( 10 фалша) от FIS ( 2 фалша)....

Аз не мисля така, защото на F-Secure челните им места са по-важни от тези на Avira - Whole Product Dynamic Protection и Low False Positive Rate. Предполагам обръщат по-голямо внимание на фалшовете, където Авира далеч по-слаба( 10 фалша) от FIS ( 2 фалша)....

Безспорно Whole Product Dynamic Protection е най-важният и изчерпателен тест. На мен ми допада повече Авира, но при този тест F-secure е по-добра - все пак има Deep Guard и Black Light, за разлика от Авира, която е все пак по-конвенционален антивирус.

Този link които си дал СlearCloud го блокира.Какво има там?

Ето текста под килимчето

Краш-тест отечественных антивирусов: Суровая проверка грандов AV-индустрии - победивших нет!

Как обычно тестируют антивирусы? Прогоняют их на специально заготовленных зловредах, пытаются всячески обойти эвристику, выбраться из песочницы... Таких тестов полно в Сети, но в этот раз все будет иначе. Мы будем проводить краш-тесты. Мы будем грубо ломать и выводить из строя самые крутые аверские поделки и в итоге узнаем, кто из них оказался самым крепким.

Сегодняшнее тестирование будут проходить две антивирусные программы. Первый испытуемый — Kaspersky CRYSTAL. Это ПО разрабатывалось специально для комплексной защиты пользовательского компьютера. В Кристале, помимо классического сканера и резидентного проактивного модуля, есть также средства родительского контроля, шифрование данных, менеджер паролей, которые для нас особой ценности сегодня не представляют. Вторым кандидатом на уничтожение будет Dr.Web Security Space Pro. Его функционал чуть беднее. Нет менеджера паролей, виртуальной клавиатуры и прочих полезных и не очень фич.

Антивирус предназначен для комплексного противодействия интернет-угрозам в сочетании с дополнительной защитой от сетевых атак благодаря встроенному брендмауэру.

Оба антивируса очень популярны в России, а Kaspersky еще и входит в мировую пятерку самых продаваемых программ для защиты от зловредов.

Принцип тестирования

Для проверки антивирусов на прочность мы разработали пять собственных тестов. Некоторые тесты представляют собой специально написанные программы, другие можно выполнить вручную с помощью стандартных инструментов Windows. Кстати, все испытания проводятся в Windows XP Professional SP3. За прохождение каждого теста будет выставляться оценка по пятибальной системе — совсем как в школе.

Единицы, конечно, мы никому ставить не будем, но и завышать баллы за способность к выживанию — не в наших правилах. В конце мы подсчитаем среднеарифметическое всех оценок и посмотрим, кто оказался самым стойким.

Теперь немного о самих тестах. Так как мы тут проводим не абы что, а краш-тестирование, то и испытания у нас будут соответствующие. Основная их цель — вывести из строя антивирусное ПО как можно незаметнее для пользователя. Если в результате выполнения того или иного теста защитные функции наших кандидатов «на уничтожение» перестали работать, то антивирь получает жирную двойку. В противном случае мы будем смотреть, как ПО справилось с проблемой. Если перед смертью ему удалось выдать какое-нибудь сообщение — начисляем трояк. Как уже было сказано выше, краш-тестов будет всего пять. Первый тест будет тупо пытаться удалить самые важные бинарные файлы дистрибутива антивируса. Но не просто удалить, а удалить при загрузке ОС с помощью специальной API-функции.

Второй будет делать то же самое, но при этом еще и хитро шифровать имя удаляемого файла, чтобы антивирь не догадался, что его хотят стереть с практически собственного жесткого диска. Третий тест, опять же, удаляет жизненно важные файлы, но при этом скрывает это, маскируя вызов смертоносной API-функции под совершенно безобидный код.

Четвертое и пятое испытание стоят особняком, поскольку будут выполняться с помощью стандартных средств ОС Windows — никаких специальных утилит мы писать не будем. Разумеется, при желании все это можно реализовать и программно. Итак, один из тестов будет запрещать запуск антивируса посредством политик безопасности, а второй попробует деинсталлировать ПО без лишнего шума и пыли. Итак, когда мы немного разобрались с тем, что будем делать, приступим непосредственно к краш-тестам.

Тест №1

Первый тест будет производиться с помощью специально написанной утилиты. В командной строке мы передадим ей полное имя файла, который хотим удалить при следующей загрузке ОС. Программа вызовет системную функцию MoveFileEx, которая может перемещать файлы и папки. Первый ее параметр — это полное имя перемещаемого файла, второй — куда будем перемещать, а третий — флаг, который задает некоторые опции перемещения. Если второй параметр оставить пустым, то есть передать NULL вместо строки с новым местом хранения, а в качестве флага установить значение MOVEFILE_DELAY_UNTIL_REBOOT, то нужный нам файл будет удален во время загрузки ОС.

Все просто. Всего одна функция, и никакого хитроумного кода. Такую утилитку может написать даже ученик средней школы. Теперь проверим, как она подействует на наши антивирусы. Первым по списку идет Kaspersky CRYSTAL. Если посмотреть в менеджер процессов, то мы увидим, что Каспер два раза запустил avp.exe.

Одна копия запущена с системными привилегиями, а вторая — с правами активного в данный момент пользователя. Удалять будем именно этот файл, который по умолчанию лежит в папке «%programfiles%\Kaspersky Lab\Kaspersky CRYSTAL\». Запускаем утилиту, передав ей в качестве одного из параметров полное имя экзешника и … Кристал начал ругаться на нашу тестовую утилиту, определив ее рейтинг опасности как «высокий». Если бы это был реальный зловред, то пользователю пришлось бы решать, разрешить подозрительной программе выполниться или нет. Если все-таки дать свободу нашей утилите, то после ребута системы антивирус не запускается. Программа сделала свое дело и удалила главный бинарник Касперского. В случае запрета выполнения подозрительной тулзы все будет хорошо — avp.exe останется на своем месте и по-прежнему будет радовать пользователей красивой иконкой в трее.

Итак, Kaspersky CRYSTAL прошел первое испытание, но, к сожалению, всего лишь на троечку. Очень часто пользователи жмут на кнопку «Да» не читая, что там пишут.

Следующее защитное ПО — Dr.Web Security Space Pro. В отличие от CRYSTAL, Доктор Веб состоит из множества исполняемых exe-файлов, каждый из которых ответственен за свою функцию. Но удалить мы попробуем самый главный бинарь, который, как и в Касперском, запускается от имени системы — dwengine.exe. Тестовая утилита удаления отработала без проблем, Доктор даже не пискнул. Но посмотрим, что будет после перезагрузки. А после нее все осталось на своих местах — анитвирус как новенький! Ну что же, попробуем стереть какой-нибудь другой важный файл, например, утилиту обновления или базы с сигнатурами. После нескольких запусков смертоносного кода и перезагрузки компьютера Доктор остается жив, и поэтому получает за первое испытание твердую пятерку. Никакого шума, никаких вопросов к пользователю. Просто не удаляется .

Тест №2

Второй краш-тест очень похож на первый, но с одним единственным отличием — путь к удаляемому файлу мы передаем в зашифрованном виде. Процедура шифрования тоже не совсем простая. Мы используем специальный трюк, чтобы обмануть эвристики наших антивирусов. Подробнее об этом можно почитать во врезке. А пока посмотрим, как справятся с этим испытанием Касперский и Доктор Веб.

Первый в очереди — Kaspersky CRYSTAL. Предварительно зашифровав путь к avp.exe, мы передаем его нашей утилите. Реакция Кристала на второй тест полностью совпадает с реакцией на первый. Антивирус предложил выбрать, что делать с подозрительной программой. В случае, если мы разрешаем ее выполнение, после перезагрузки Kaspersky не загрузится. Итог: второе испытание Каспер тоже проходит на тройку.

Ситуация с Dr.Web полностью идентична предыдущей. Все попытки удалить какие-либо файлы, требуемые для его работы, потерпели неудачу. Не удалялся даже банальный license.txt! За такую стойкость Доктор Веб получает пять.

Тест №3

Третье испытание также будет удалять нужные для антивирусного ПО файлы, но при этом будет маскировать сам факт попытки удаления. Как говорилось выше, для того, чтобы стереть файл при загрузке ОС, нужно функции MoveFileEx в качестве одного из параметров передать флаг MOVEFILE_DELAY_UNTIL_REBOOT. Именно этот флаг мы и замаскируем под нечто безобидное, что позволит усыпить бдительность эвристики.

На запуск теста с маскировкой удаления Kaspersky CRYSTAL никак не прореагировал. Сообщение, в котором бы говорилось об опасной программе, не появилось. Может быть, Кристал блокирует эту угрозу втихаря? Перезагружаем, и... нет. Касперский провалил этот тест. ПО не запустилось, avp.exe исчез с жесткого диска без какихлибо следов. Маскировка удаления файлов принесла свои плоды.

Анализатор кода CRYSTAL не смог распознать угрозу и поплатился за это. Результат: двойка и ничего, кроме двойки. А что же с Dr.Web? Провалит ли он, наконец, хоть одно испытание? Как оказалось, нет. Доктор тверд, как скала. Никакие хитрые попытки удалить важные файлы его не берут. А все из-за того, что доступ ко всем нужным и ненужным бинарникам из дистрибутива Веба был заблокирован на уровне файловой системы. Такой подход решил все проблемы с вандализмом. Просто так поменять эти права у нас не получится, все гайки закручены очень крепко. Заслуженная пятерка.

Тест №4

Следующий тест мы будем проводить с помощью стандартных инструментов Windows XP Professional. В главном меню системы выберем пункт «Выполнить...» и впишем туда следующее: gpedit.msc. Откроется консоль с групповыми политиками. Там выберем «User Configuration», затем «Administrative Templates», «System». Справа найдем «Don't run specified Windows applications». Эта опция позволяет запретить запуск определенных программ на основе их имени.

Для Касперского мы будем блокировать avp.exe. Прописав запрет на его запуск в политиках Windows, мы перезагружаем компьютер и смотрим на результат. После старта системы Kaspersky CRYSTAL работает, как ни в чем не бывало. Запустился не только сервис с правами системы, но и процесс с привилегиями текущего пользователя. Похоже, это первая пятерка у Каспера. Поздравляем! С Dr.Web ситуация чуть хуже. Блокирование запуска dwengine.

exe никак не повлияло на работу Доктора, а вот если прописать в политиках имя сканера, то он не запустится. Таким же образом парализуется работа SpIDer Guard. Никакие сообщения при запуске какого-нибудь зловреда пользователю показаны не будут. Но стоит отметить, что защитные функции антивирус потерял не полностью.

Он выполнит действия, заложенные в настройках по умолчанию, например, бережно перенесет вирус в карантин, но пользователь об этом, к сожалению, ничего не узнает. Доктор Веб получает четверку.

Тест №5

В пятом и последнем испытании мы попытаемся полностью удалить защитное ПО с помощью штатного инсталлятора. Но удалить так, чтобы пользователь ничего не заметил. Практически у всех современных инструментов для развертывания приложений в системе есть так называемый «тихий режим», когда пользователю не задается никаких лишних вопросов. Вот с помощью этого режима мы будем тестировать антивирусы.

Для «невидимой» деинсталляции Kaspersky CRYSTAL нужно выполнить следующую команду:

msiexec /quiet / uninstall {1A59064A-12A9-469F-99F6-04BF118DBCFF}

Ключ /quiet означает, что пользователь не увидит ни одного окна, касающегося процесса анинсталла. Идентификатор в фигурных скобках уникален для установленного дистрибутива Кристал. После выполнения этой команды Касперский не выдает никаких сообщений, касающихся попытки его удаления, но и сама деинсталляция как таковая завершается неудачей. Каспер справился с испытанием — без лишнего шума он пресек попытку несанкционированного удаления. Вторая пятерка.

Для тестирования Dr.Web была выполнена та же команда, с той лишь разницей, что был заменен идентификатор дистрибутива. Через некоторое время после запуска msiexec с нужными параметрами на экране появился диалог с предложением отключить модуль самозащиты и ввести капчу. В случае правильного набора цифрового кода Доктор исчезнет с компьютера пользователя навсегда. То, что Доктор Веб спросил разрешения об отключении самозащиты — это хорошо, но плохо, что он не сообщил нам причины, по которой самозащита отключается. Неопытный юзер может подумать, что так нужно, и с чистой совестью ввести капчу. В итоге Dr.Web получает тройку, поскольку непонятные окошки с непонятным текстом — дурной тон.

Итоги

На этом все. Пять ужасных испытаний пройдены. Некоторые хуже, некоторые лучше. Но ни Kaspersky CRYSTAL, ни Dr.Web Security Space Pro не смогли сдать все тесты на отлично. Для большей наглядности можно посмотреть в таблицу с оценками и вспомнить, как это было.

Kaspersky Crystal vs DR.Web Security Space PRO

Итоги: Доктор Веб оказался устойчивей ко всяким деструктивным выпадам в его сторону. Он хорошо защитил свои файлы на уровне ФС и смог противостоять жестоким политикам безопасности Windows. А его модуль самозащиты не позволит злоумышленникам тихо и незаметно удалить антивирус. Касперский справился чуть хуже. Главной проблемой для него стал замаскированный вызов MoveFileEx с флагом MOVEFILE_DELAY_UNTIL_REBOOT. Итоговая оценка за краш-тестирование:

* Kaspersky CRYSTAL — 3.6 балла,

* Dr.Web Security Space Pro — 4.4 балла.

Трюк с ключом шифрования

Для шифрования пути к файлу во втором тесте и маскировки передачи флага MOVEFILE_DELAY_UNTIL_REBOOT функции MoveFileEx в третьем использовался специальный трюк, который позволяет обойти эвристические анализаторы антивирусного ПО. Если мы сохраним ключ для расшифровки некой строки в памяти программы напрямую (в виде константы или передаваемого значения), то анализаторы кода смогут отследить всю цепочку использования этого ключа и в конце получить исходную информацию в раскриптованном виде.

Но ключ можно сформировать из двух частей: базовая и псевдослучайная части. Базовая часть — это просто число, которое хранится в памяти. Весь фокус в псевдослучайной части. Ее надо сгенерировать так, чтобы эвристическая машина не смогла проанализировать код генерации. Сделать это можно, вызвав некоторую системную функцию с такими параметрами, которые приведут к однозначному результату:

DWORD pseudoRandomDigit(const DWORD digit)

{

fopen("dsjklfjsdlk", "r");

DWORD err = ::GetLastError();

return digit + err;

}

Функции pseudoRandomDigit передается базовая часть ключа. После этого мы пытаемся открыть несуществующий файл, в результате чего получим вполне определенный код ошибки. Прибавляя этот код к базовой части ключа, мы лишаем эвристические анализаторы всякой надежды понять, что же все-таки произошло. В результате чего антивирус не может расшифровать строку, а, следовательно, и предъявить какие-либо претензии.

Latest news

2011-01-10: New results have been published for:

Norton Internet Security 2011 18.1.0.37

G Data InternetSecurity 2011 21.1.1.0

http://www.matousec.com/projects/proactive-security-challenge/

Само да вметна. Ползвам Panda IS 2011 от няколко дни(4-5, вероятно) и се държи отлично.Тествам я с всеки файл, който видя в темата за подпомагане, като и новите в mdl, които не са пускани-досега нито един пробив.Сканирам с Hitman pro, както и със SAS(без MBAM, защото явно има някаква несъвместимост в драйверите).Не откриват дори tracking cookies.

Редактирано 17 януари 201115 г. от clonnning (преглед на промените)

Само не ми стана ясно,защо не изчака на втората връзка в MDL - експлойта да се зареди напълно,та набързо затвори страницата.

Редактирано 17 януари 201115 г. от nikssi (преглед на промените)

Тест на самозащитата на антивирусните на платформа x64 !

http://antimalware.ru/antivirus_self_protection_test_x64_2011

като видиш кой е сайта(.RU) и кой е победител(отново .RU) ти става ясно колко е достоверен. Пък и 100%.. айде стига бе.

Тест на самозащитата на антивирусните на платформа x64 !

http://antimalware.ru/antivirus_self_protection_test_x64_2011

По-смешен тест не бях срещал...братушките взеха да се самозабравят.

Само като мернах ZA и Dr.Web в челото и MSE която смятам за единствената НАПЪЛНО съвместима x64 AV накрая и ме изгубиха като читател по-нататък.

Отделно са тествали MSE 1x, при наличие на 2x.

Отделно е недопустимо да се сравняват ПЪЛНИ пакети за сигурност срещу MSE, която си е чист AV с няколко модула за сканиране на мрежата - модула за поведението за сега е повече за украса.

По-смешен тест не бях срещал...братушките взеха да се самозабравят.

Само като мернах ZA и Dr.Web в челото и MSE която смятам за единствената НАПЪЛНО съвместима x64 AV накрая и ме изгубиха като читател по-нататък.

Отделно са тествали MSE 1x, при наличие на 2x.

Отделно е недопустимо да се сравняват ПЪЛНИ пакети за сигурност срещу MSE, която си е чист AV с няколко модула за сканиране на мрежата - модула за поведението за сега е повече за украса.

+1. Dr.Web и Kaspersky винаги са напред в тези тестове.... защо ли. Може би защото екипа им е съставен от хора в изброените две фирми.

По-смешен тест не бях срещал...братушките взеха да се самозабравят.

Само като мернах ZA и Dr.Web в челото и MSE която смятам за единствената НАПЪЛНО съвместима x64 AV накрая и ме изгубиха като читател по-нататък.

Отделно са тествали MSE 1x, при наличие на 2x.

Отделно е недопустимо да се сравняват ПЪЛНИ пакети за сигурност срещу MSE, която си е чист AV с няколко модула за сканиране на мрежата - модула за поведението за сега е повече за украса.

Аз пък незнаех,че G Data е почти накрая в теста с някакви 73 % а Kaspesky има пълен 100%

И Kaspersky Internet Security(които има hips, блокери там ранзи и т.н.) срещy MSE които е един чист Антивирус!!!

Аз пък незнаех,че G Data е почти накрая в теста с някакви 73 % а Kaspesky има пълен 100%

И Kaspersky Internet Security(които има hips, блокери там ранзи и т.н.) срещy MSE които е един чист Антивирус!!!

Аз незнам да има разлика с Self Protection в KAV и този в KIS. Друг е въпросът, че не е правилно.

Тест на самозащитата на антивирусните на платформа x64 !

http://antimalware.ru/antivirus_self_protection_test_x64_2011

За разлика от мненията на другите, аз съм склонен да приема теста на 90% за обективен. Единствено върху ZoneAlarm нямам никакъв поглед...но е добре известно, че продуктите на руснаците открай време се славят с добра самозащита...това е общонационална руска черта. Не ме учудва теста! радва ме, че новото ми увлечение- Bitdefender IS е в челните редици...сериозна програма, с голям напредък в последно време!

Редактирано 24 януари 201115 г. от А р х и т е к т а (преглед на промените)

Каталин Кошой, глава лаборатории BitDefender по защите от онлайн-угроз Сергей Уласень, начальник отдела разработки антивирусного ядра компании «ВирусБлокАда»: Николай Романов, технический консультант Trend Micro в России и СНГ Тези хора признават теста също !

Странно когато тествах Касперски с този вирус

http://www.virustotal.com/file-scan/report.html?id=f4e95f157692ee6c8fd33a22e6bfacde36d8c8f7f047f595e4fa4943353eb8b8-1293221597

за който тогава нямаше дефиниция беше изключен

а след рестарта нямаше нито един активен процес.

При същия този вирус тествах и Комодо като дадох пълни права на вируса за да проверя дали ще го изключи напълно. Преди рестарта Комодо си работеше нормално , след рестарта на ОС уж беше забранена защитата на Комодо , но той пак си задаваше въпроси когато стартирам неизвестни приложения за него. Та от това си правя извода че самозащитата на Комодо е по-добра от тази на Касперски.

За тези които не вярват мога да предоставя вируса за тестове.

Тези хора признават теста също !

Е как няма като са в челните редици.

А колкото до Dr.Web мисля, че още трябва да поработят на самозащитата си.

EP_X0FF се изгаври с нея чрез Spidie... преди време.

http://www.rootkit.com/vault/DiabloNova/spidie22.rar

VBA - провалени на теста, тук добре, приели са го. TrendMicro - в челните места Bitdefender - в челните места Какво искаш да кажат, теста е фалшив..

Е как няма като са в челните редици.

По тая логика винаги тестовете ще са съмнителни -няма как всички да са на челните места

По тая логика винаги тестовете ще са съмнителни -няма как всички да са на челните места

Пишеш без да четеш....... хубаво на челните места, ама при положение че:

• ANTIMALWARE.RU е изготвил теста, а в него работят хора от DR.WEB и KASPERSKY
• Руските програми получават челен резултат
• Касперски взима..... 100% защита на програмата си, от РУСКИ САЙТ, а DR.WEB е с GOLD AWARD.. айде моля ти се

.

Това че TRENDMICRO и BITDEFENDER казват че теста е легитимен, не значи нищо. Те са в челото на класацията, какво искаш да кажат?

Е как няма като са в челните редици.

А колкото до Dr.Web мисля, че още трябва да поработят на самозащитата си.

EP_X0FF се изгаври с нея чрез Spidie... преди време.

http://www.rootkit.com/vault/DiabloNova/spidie22.rar

Този Rootkit специално за Dr.Web ли е създаден или умъртвява антивирусните наред.

Пишеш без да четеш....... хубаво на челните места, ама при положение че:

• ANTIMALWARE.RU е изготвил теста, а в него работят хора от DR.WEB и KASPERSKY
• Руските програми получават челен резултат
• Касперски взима..... 100% защита на програмата си, от РУСКИ САЙТ, а DR.WEB е с GOLD AWARD.. айде моля ти се

.

Това че TRENDMICRO и BITDEFENDER казват че теста е легитимен, не значи нищо. Те са в челото на класацията, какво искаш да кажат?

Ти си тоя, който в момента оспорва водещи експерти в областа на сигурността и ти беше тоя ,който обяви теста за нелигитимен три минути след като го публикувах ...

Ти пишeш без да четеш ...

Следващия път ще се постарая да намеря тест където Есет са начело ама едва ли ще се случи скоро !

След 5 поста и сто клонинги големи разбирачи се извъдихте ей !

Редактирано 24 януари 201115 г. от Гост (преглед на промените)

Този Rootkit специално за Dr.Web ли е създаден или умъртвява антивирусните наред.

Виж сам:

http://www.rootkit.com/blog.php?newsid=1035