Комплексный сравнительный анализ антиSpyWare - подбор "кандидатов" и выбор методик

[QUOTE=Владимир]Олег сколько у вас всего троянов в базе,и зачем вы некоторые трояны написали выделеным шрифтом ведь как как я понял все написаные трояны в колличестве 4071 были пропущены так вот было бы интересно узнать 4071 трояна из скольки tauscan пропустил ?? И так же вот ссылка на программы предположительно зараженные троянами

[url="http://www.wenet.ru/downloads/files"]http://www.wenet.ru/downloads/files[/url]

mIRC 6.16 с точки зрения tauscan заражена троянами "Institution 2004 0.3.0" и "Tequila Bandita 1.3b2.a" А по этой ссылке

[url="http://www.wenet.ru/downloads/files/mirc/mirc61.exe"]http://www.wenet.ru/downloads/files/mirc/mirc61.exe[/url]

программа mIRC опять таки с точки зрения tauscan заражена трояном "Tequila Bandita 1.3b2.a"

И вот ещо ссылка на программу
[url="http://download.bt2net.com/en/?wm=&sub=0"]http://download.bt2net.com/en/?wm=&sub=0[/url] которая с точки зрения tauscan заражена трояном "Ultimate RAT 2.1.ap"[/QUOTE]

Те цифры, что я привел - это промахи ... всего в тестововй коллекции 4526 зверей, TauScan [b]не поймал[/b] 4071 заверя и поймал соответственно 455 зверей (10% от общего количества). Статистика по коллекции есть тут [url="http://virusinfo.info/showpost.php?p=48545&postcount=35"]http://virusinfo.info/showpost.php?p=48545&postcount=35[/url] ... т.е. исходно в коллекции 1203 AdWare, а пропущено в данном случае 1136 - т.е. AdWare он не ловит вообще.
-----
По поводу RAT - это сокращение от Remote Admin Tool. Это не троян - это утилита удаленного управления. Судя по моим наблюдениям TauScan дает очень много опасных ложных срабатывания - среагировал же он на стат-анализатор как на две разновидности троянов (хотя там точно нет опасного программного кода, "подозритетельных" импортов)

Досадно конечно что tauscan так облажался,а те программы на которые я ссылки написал вы проверили действительно там трояны или ложное срабатывание??

[QUOTE=Владимир]Досадно конечно что tauscan так облажался,а те программы на которые я ссылки написал вы проверили действительно там трояны или ложное срабатывание??[/QUOTE]
Я проверил MIRC по приведенной выше ссылке - файл чистый и не опасный, никакого "Tequila Bandita 1.3b2.a" там нет ...

[QUOTE=Гость]Пожалуйста проверьте AVIRA [url]http://www.avira.com/en/download/finish_product_form.html[/url] типа очень крутая прога .Распознаёт неизвестные ей гадости по их поведению ! И что насчёт G DATA AntiVirusKit 2005 (AVK) который в тесте [url]http://www.virus.gr/english/fullxml/default.asp?id=69&mnu=69[/url] занял 2 место ?[/QUOTE]
Тест этих программ наверное нужно включать в тестирование антивирусов, а не антиспайверов ... а такое тестирование я проведу - несмного позже

уважаемый Олег !не хочу настаивать но AVIRA - не простой антивирус а что то вроде Sandboxa то есть он имитирует для всех устанавливаемых программ и файлов искуственную среду до их инсталляции якобы они уже запущены и смотрит на их поведение.Как антивирус он появился недавно но прошёл подряд 3 теста Virusbulletin ! так как он мало известен мне как то стрёмно переходить на него на постоянной основе но если он ловит шпионов лучше чем Касперский или NOD рапознавая их по мерзкому поведению то почему бы и нет ????????? То что Вы потестите его как антивирь - отлично ! но не возвращаться же потом назад к тестам Antispyware - вдруг ета прога окажется тем универсальным средством которое ищут все юзеры в том числе и я ?

Олег спасибо за тесты,и для тех кому интересно пишу ссылку на статью про троян Tequila Bandita 1.3b2.a

[url]http://www.securitylab.ru/46560.html[/url]

[QUOTE=Гость]уважаемый Олег !не хочу настаивать но AVIRA - не простой антивирус а что то вроде Sandboxa то есть он имитирует для всех устанавливаемых программ и файлов искуственную среду до их инсталляции якобы они уже запущены и смотрит на их поведение.Как антивирус он появился недавно но прошёл подряд 3 теста Virusbulletin ! так как он мало известен мне как то стрёмно переходить на него на постоянной основе но если он ловит шпионов лучше чем Касперский или NOD рапознавая их по мерзкому поведению то почему бы и нет ????????? То что Вы потестите его как антивирь - отлично ! но не возвращаться же потом назад к тестам Antispyware - вдруг ета прога окажется тем универсальным средством которое ищут все юзеры в том числе и я ?[/QUOTE]
ну, можно и его до кучи протестировать - завтра ...

Авира это вроде бы АнтиВир немецкий?

[B]Тест AVIRA[/B]
Инсталлируется без проблем и не требует перезагрузки, обновляет базы и код через Инет. Для поиска SpyWare и прочих Malware нужно обязательно настраивать его - по дефолту их детектирование отключено. Сканирует достаточно шустро, понимает архивы. Вот промахи:
[B]AdvWare 543[/B]
Adware 1
Backdoor 99
Constructor 1
[B]Dialer 315[/B]
Downloader 0
Email-Flooder 0
Email-Worm 4
Exploit 8
HackTool 1
Hoax 1
IM-Worm 0
Net-Worm 1
P2P-Worm 1
Porn-Dialer 0
Porn-Downloader 1
PornWare 0
PSWTool 0
RiskWare 2
Spy 257
Trojan 37
Trojan-Clicker 16
[B]Trojan-Downloader 216[/B]
Trojan-Dropper 17
Trojan-Proxy 3
Trojan-PSW 12
Trojan-Spy 101
Virus 1
Worm 0
Общее число файлов: 1638
Общий вывод - достаточно качественно ловит, явных ложных срабатываний нет. Но 1638 пропусков, с учетом того, что с момента формирования коллекции прошло почти два месяца ...

[b]EMCO Malware Destroyer [/b]
Размер апдейта - 5 МБ :) Создатели явно не знают термина "архиватор".
Ищет врагов по именам файлов и именам ключей реестра (99% поиска - именно по реестру). Крайне опасен, т.к. выдает не подозрения, а вердикт об однозначном детектировании - при этом сигнатруры файлов никак не проверяются.
Для пробы я создал в ключе Run два строковых параметра с именами tbps и loadhtml. Первый ссылался на explorer.exe, второй - на notepad.exe. Тут же сканирование нашло два AdWare. Намного опаснее другое - чистка обнаруженных "SpyWare" предполагает список действий (удаление файлов по именам, ключей реестра и т.п.). Например, для пробы в папке Windows был создан Fash.exe, он без всяких запросов уничтожается при удалении вышеописанных "Spyware".

[b]Max Secure Spyware Detector[/b]

[url]http://www.spywaredetector.net/[/url]
[url]http://www.spywaredetector.biz/spywaredetector.exe[/url] ~3.7 mb

Есть в списке [url]http://spywarewarrior.com/rogue_anti-spyware.htm[/url]
с пометкой "false positives work as goad to purchase"

[QUOTE=HATTIFNATTOR][b]Max Secure Spyware Detector[/b]

[url="http://www.spywaredetector.net/"]http://www.spywaredetector.net/[/url]
[url="http://www.spywaredetector.biz/spywaredetector.exe"]http://www.spywaredetector.biz/spywaredetector.exe[/url] ~3.7 mb

Есть в списке [url="http://spywarewarrior.com/rogue_anti-spyware.htm"]http://spywarewarrior.com/rogue_anti-spyware.htm[/url]
с пометкой "false positives work as goad to purchase"[/QUOTE]

[b]Max Secure Spyware Detector[/b]
Инсталлируется без проблем, сканирует весьма шустро. Просканировал всю тестовую коллекцию за 1 минуту. Обнаружил 0 (число прописью - [b]ноль[/b] файлов).
Ищет файл по именам. Для теста notepad.exe переименован в subsuq.exe (это первое попавшееся имя из его базы), после этого он был немедленно задетектирован как TrojanDownloader.Win32.VB.em. Дает массу очень опасных ложных срабатываний - например, троянами признаны
wpa.dbl - там найден якобы червь
urlmon.dll, ntdll.dll, msvcrt.dll, user32.dll - некие трояны или AdWare ... -
Вывод: абсолютно бесполезен и крайне опасен ...

Вот ещо один образец для теста называется антивирус но по имеющийся информации народ его ставит именно для удаления троянов и прочих вредоносных программ которые он по отзывам на некоторых форумах довольно шустро и проффесионально вылавливает...

[url]http://www.proantivirus.com/ru/index.php[/url]

[QUOTE=Владимир]Вот ещо один образец для теста называется антивирус но по имеющийся информации народ его ставит именно для удаления троянов и прочих вредоносных программ которые он по отзывам на некоторых форумах довольно шустро и проффесионально вылавливает...

[url]http://www.proantivirus.com/ru/index.php[/url][/QUOTE]
Я не могу его тестировать - я обмениваюсь образцами ITW заразы с его создателями ...

спасибо за AVIRU !то что она пропустила 1500 - значит ли это что она поймала 2500 ?тогда по моему это на уровне dr.weba ,насколко я помню Вы его хвалили.теперь у меня вопрос - новая ZONE ALARM PRO 60.631.003 нашла и послала в карантин ADWARE-GameSpy Arcade с уровнем риска High я восстановил его из карантина и проверил всё AVZ но он ничего не нашёл .к сожалению ZONE ALARM не пишет к какой программе относится этот ADWARE и как сам этот файл называется ,чтоб я его мог выслать вам на проверку.ZONE ALARM PRO можно бесплатно тестить 2 недели по моему,не помню вы её проверяли или нет,а ели да то какую версию - сейчас в неё добавлен Антиспай.кстати вспомнил ещё 1 штуку : YAHOO TOOLBAR with ANTISPY.потесьте пожалуйста.и ещё 1 просьба чтоб не просматривать весь форум может вы приведёте весь список протестированных продуктов без результатов тестов чтоб можно было окинуть взглядом так сказать всю поляну и предложить что то новое :)

тест ZoneAlarm -
[url]http://www.virusinfo.info/showpost.php?p=50031&postcount=14[/url]

то была бета версия и старая притом и я не просил тестировать новую ZoneAlarm ,просто спросил,а был ли мальчик :)
вот список всего что было-пришлоь таки самому полазить:
Anvir
A2
Microsoft Antispyware
Ad-Aware
Spybot
PestPatrol
McAFEE
SpywareDoctor
SpySweeper
Ewido
AVAST
Spypry
dr.Web
ZoneAlarm
Steganos Antispyware
diamond cs
Bitdefender
CounterSpy
SpyEmrgency
SpywareNuker
NOD32
tauskan
AVIRA
EMCO MALWARE DESTROYER
MAX SECURE SPYWARE DETEKTOR

Yahoo toolbar with Antispy : [url]http://toolbar.yahoo.com/[/url]

а вот похоже конкурент [url]http://www.kerish.org/indexru.html[/url] надо бы потестит

да сколко же их развелось [url]http://www.stocona.ru/download/index.html[/url] вот еще 1 отечественная разработка !