Комплексный сравнительный анализ антиSpyWare - подбор "кандидатов" и выбор методик

[QUOTE=Geser]

P.S. Вообще создаётся впечатление что Макафи зажрались. пробной версии нет, в Вирустотал и Вирусскан не участвуют.[/QUOTE]
Хм, ошибся я, на вирустотал есть Макафи :)

Еще могу предоставить F-Secure Anti-Virus Client Security 6.00 для тестов

Поддерживаю nEtVIL. Хотя бы потому что в 6-ой версии F-Secure Client Security кроме всего прочего появился Real-time antispyware protection.
Помнится в 2005-ой версии это был отдельный модуль, внешне очень похожий на тот что у Ad-Aware. В 6-ой версии он уже интегрирован. Можно просто в настройках монитора указать, сканировать spyware или нет. Учитывая, что один из трех движков у него от Касперского, то это тоже неплохой кандидат для теста.

[QUOTE=Archer]Поддерживаю nEtVIL.[/QUOTE]
F-Secure использует движок и базы KAV, так что отпадает. Впрочем, а почему бы и не протестировать, дабы убедиться, что это действительно так.

Хорошо,:-ум прогрессу не помеха....
Объясните,чем отличается (по ловимости) Counter Spy и Ad-Aware SE Pro., (если лучшее существует-поможет и другим!!)

[QUOTE=kirs]Хорошо,:-ум прогрессу не помеха....
Объясните,чем отличается (по ловимости) Counter Spy и Ad-Aware SE Pro., (если лучшее существует-поможет и другим!!)[/QUOTE]
А их сравнивать нельзя :)
Counter Spy - [url]http://virusinfo.info/showthread.php?t=2516[/url] - это "кидалово" - искатель файлов по именам ... т.е. ничего серьезного он найти не может по определению (а вот снести что-то полезное - это запросто)
Ad-Aware SE Pro - это уже искатель по сигнатурам, т.е. он ищет файл по р-там анализа его внутренностей

Кстати, поиск по именам иногда может давать неплохие показатели. Например стопроцентное обнаружение кучи взякой гадости по файлу C:\WINDOWS\svchost.exe, а также всякие производниые,типа svchost32.exe в любой папке :P

[QUOTE=ZDM]Кстати, поиск по именам иногда может давать неплохие показатели. Например стопроцентное обнаружение кучи взякой гадости по файлу C:\WINDOWS\svchost.exe, а также всякие производниые,типа svchost32.exe в любой папке :P[/QUOTE]
По именам можно только выдавать подозрение. Потому как никто не может гарантировать что после очередного апдейта не появится системный файл, с таким же именем как зверь в базе. И Counter Spy снесёт его не пикнув. После чего, вполне вероятно, винду прийдётся переустановить.

Самое смешное, что такие "искатели" по именам посчитают свои же исполняемые файлы вредоносным ПО, если их переименовать, дав им соответсвующие имена. :)

[QUOTE=kps]Самое смешное, что такие "искатели" по именам посчитают свои же исполняемые файлы вредоносным ПО, если их переименовать, дав им соответсвующие имена. :)[/QUOTE]
Именно так я кстати это и проверяю :)
На самом деле я не отрицаю то, что я называю "анализом по косвенным признакам" - т.е. по имени/местоположению файла, каким-то особенностям типа копирайтов ... по ключам реестра и зарегистрированным классам и т.п. Эти методы достаточно эффективны, но именно как одна из форм эвритики. И обнаруженный таким образом файл можно только выводит в логи как "подозрение на <что-то там>". Тот же AVZ примерно это и делает на стадии "эвритическая проверка системы" ... но это пригодно как некое расширение. Второй момент в том, что по мере роста базы вероятность совпадения имени файла у "зверя" и некоей программы очень быстро возрастает ...

[url]http://www.download.com/RegAuditor/3000-8022_4-10406061.html?tag=lst-0-9[/url]

[QUOTE=Novosib][url]http://www.download.com/RegAuditor/3000-8022_4-10406061.html?tag=lst-0-9[/url][/QUOTE]
По сравнению с HijackThis это ерунда ... есть подозрение (но не пойман - не вор), что сдалана эта игрушка на основании открытой базы CLSID BHO ...

Олег, а как на счет продолжения банкета, т.е. тестов?:)

Вот эта программка в том числе отбивает попытки хайджекинга (помимо других функций) :-)

[url]http://www.secretmaker.com/support/securitywatchdog/default.html[/url]

[QUOTE=Geser]Олег, а как на счет продолжения банкета, т.е. тестов?:)[/QUOTE]
Остались крупные звери, нужно время чтобы их качнуть и проверить ... а я дописываю очередную статью в КомпьютерПресс и это отнимает свободное время.

Олег, нашёл ещё одну софтину с многообещающим описанием:[B]Spy Emergency 2005 v2.0.296 [/B] is anti-spyware software that fast and secure removes spyware and other internet infections from your computer. Spy Emergency protects you against thousands of infections, including: Spyware Adware Malware Homepage hijackers Remote administration tools ActiveX Components Dialers Scumware Keyloggers Trojans Data mining software Toolbars Tracking cookies Browser Hijackers/BHO's and many other types of internet parasites and infections.
Homepage:[url]http://www.spy-emergency.com[/url] в Ваших тестах её вроде не было...

[QUOTE=Algris]Spy Emergency 2005 v2.0.296
...
в Ваших тестах её вроде не было...[/QUOTE]

Думаю, не стоит тестировать то, что находится в черном списке [url]http://spywarewarrior.com/rogue_anti-spyware.htm[/url]

Не совсем так, в списке напротив этой программы стоит примечание от Eric L. Howes по поводу последней версии (2005) - вроде как почти исправились.
Но насчет того, что ЭТО вряд ли стоит качать и тестировать, полностью согласен. Черного кобеля не отмоешь добела :).

[QUOTE=kps]Думаю, не стоит тестировать то, что находится в черном списке [url]http://spywarewarrior.com/rogue_anti-spyware.htm[/url][/QUOTE]
Спасибо, не знал...но подозревал. Уж больно напоминает -"Достаточно усего одной таблэтки..." :D

[QUOTE=Algris]Спасибо, не знал...но подозревал. Уж больно напоминает -"Достаточно усего одной таблэтки..." :D[/QUOTE]
Ну, почему бы и не потестировать - она же мелкая сравнительно по размеру ...
[b]Spy Emergency 2005 v2.0.296 [/b]
В базе по рапорту программы 81805 сигнатур. Скорость сканирования - средняя.
Из 4528 образцов найдено 146, что составило 3.2%.
Вот данные по промахам:
[b]AdvWare 1118[/b]
Adware 2
[b]Backdoor 430[/b]
Constructor 1
[b]Dialer 460[/b]
Downloader 1
Email-Flooder 1
Email-Worm 31
Exploit 12
HackTool 2
Hoax 1
IM-Worm 6
Net-Worm 25
P2P-Worm 3
Porn-Dialer 2
Porn-Downloader 1
PornWare 1
PSWTool 1
RiskWare 4
[b]Spy 478[/b]
Trojan 214
Trojan-Clicker 69
[b]Trojan-Downloader 838[/b]
Trojan-Dropper 86
Trojan-Proxy 38
Trojan-PSW 32
[b]Trojan-Spy 500[/b]
Virus 22
Worm 3
Общее число файлов: 4382
------------
Общий вердикт - как видно из тестов, эффективность программы близка к нулю. AdWare и SpyWare в частности она практически не умеет ловить, причем среди промахов очень распространенные виды ...
Резидентная защита реализована настроек IE реализована за счет непрерывного сканирования его ключей реестра на высокой скорости ...

Олег может быть включиши и эту прогу очень интересно узнать насколько эт ся оправдает:

Spyware Nuker 2005 3.04.24.1

а вот линк :
[url]http://www.nuker.com/products/swn2005/SpyWareNuker.exe[/url]

производитель программы говорит что он не хуже других а может и лучший но мне что то не верится

[QUOTE=spitamen]Олег может быть включиши и эту прогу очень интересно узнать насколько эт ся оправдает:

Spyware Nuker 2005 3.04.24.1

а вот линк :
[url]http://www.nuker.com/products/swn2005/SpyWareNuker.exe[/url]

производитель программы говорит что он не хуже других а может и лучший но мне что то не верится[/QUOTE]
А что там тестировать. И так понятно что ни один антиспай даже и близко не приближается к хорошим антивирусам. Потому нет смысла забивать компьютер всяким мусором.

[QUOTE=Geser]А что там тестировать. И так понятно что ни один антиспай даже и близко не приближается к хорошим антивирусам. Потому нет смысла забивать компьютер всяким мусором.[/QUOTE]

данная ветка форума: Борьба с Spyware, Adware, Hijackers
Тема: Комплексный сравнительный анализ антиSpyWare - подбор "кандидатов" и выбор

и в чем человек не прав, предлагая потестить антиспай?! :?

P.S. ничего личного....

[QUOTE=Geser]А что там тестировать. И так понятно что ни один антиспай даже и близко не приближается к хорошим антивирусам. Потому нет смысла забивать компьютер всяким мусором.[/QUOTE]

Gesser при чем тут антивиры, когда речь идет об АнтиСпайваре, тогда и тему название поменяйте чтоб юзеров не сбить с толка, и если нет желание протестировать так и скажите а не объяснив это тем что это мусор.
И последнее то что сообщение вообще было адресовано Олегу Зайцеву, думаю есть где раздуматься перед тем как сделать резкий ответ за других.
И извеняюсь если это кого ниудь задел, но правда режет глаза

Уже было протестировано более 10 антиспаев. Результаты у всех плохие или очень плохие. С вероятностью 80% Spyware Nuker ищет по именам файлов и с вероятностью 99% найдёт не более десятой части зверей из коллекции.
Одно из приемуществ человека разумного - это способность обрабатывать информацию, обобщать её и делать выводы. А вывод очень простой. Хороший антивирус ловит спайварь лучше антиспаев. Потому нет никакого смысла ставить антиспай. Антиспаев существует сотня или больше. Не думаю что Олег сможет все протестировать.
Ничего личного. Это моё мнение. Хотите - верьте, хотите - нет.

[QUOTE=spitamen]Gesser при чем тут антивиры, когда речь идет об АнтиСпайваре, тогда и тему название поменяйте чтоб юзеров не сбить с толка, и если нет желание протестировать так и скажите а не объяснив это тем что это мусор.
И последнее то что сообщение вообще было адресовано Олегу Зайцеву, думаю есть где раздуматься перед тем как сделать резкий ответ за других.
И извеняюсь если это кого ниудь задел, но правда режет глаза[/QUOTE]
[b]Spyware Nuker 2005 3.04.24.1[/b]
В ходе инсталляции открывает страничку со своим сайтом (не спрося, надо ли), в момент старта лезет в Инет и передает запрос вида:
[QUOTE]GET [url="http://www.nuker.com/products/swn2004/update.php?version=30425"]http://www.nuker.com/products/swn2004/update.php?version=30425[/url] HTTP/1.0[/QUOTE]
Это явно поиск обновлений, но спросить о надобности такой проверки вероятно не помешало бы (в настройке проверку апдейта можно отключить).
Настроек области сканирования в явном виде нет, сканирует реестр, системный диск и другие доступные диски. Запуск в этом режиме ничего не дал. Изучение настроек показало, что есть возможность задать область поиска и тип - быстрое (стоит по умолчанию) или углубленное и медленное. Я естественно задал углубленное и медленное и запустил сканирование.
В этом режиме он что-то нашел, но за удаление запросил от 40 до 50$ денег.
Далее интереснее - он кроме всего прочего ищет файлы по именам. Например, если положить в папку Windows\System32 файлик с именем toolbar.dll с любым содержимым, то произойдет однозначное детектирование ее как iSearchToolbar с предложением удалить ....
------------
Цифры
[b]AdvWare 916[/b]
Adware 1
[b]Backdoor 418[/b]
Constructor 1
[b]Dialer 466[/b]
Downloader 1
Email-Flooder 1
Email-Worm 31
Exploit 12
HackTool 2
Hoax 1
IM-Worm 6
Net-Worm 24
P2P-Worm 3
Porn-Dialer 2
Porn-Downloader 1
PornWare 1
PSWTool 1
RiskWare 4
[b]Spy 437[/b]
Trojan 172
Trojan-Clicker 62
[b]Trojan-Downloader 744[/b]
Trojan-Dropper 72
Trojan-Proxy 32
Trojan-PSW 26
[b]Trojan-Spy 497[/b]
Virus 21
Worm 3
-----------
Geser оказался прав - программа практически не умеет "ловить мышей", да еще при цене в 40$ ее способности вообще смешны... из 1203 AdWare поймано только 287 (примерно 24%) - как показало изучение - самых избитых и безвредных, из опаснейших Trojan-Spy вообще поймано 3 (пишу прописью "[b]три[/b]") образца из 500, TrojanDownloader - около 10% из предъявленного количества, Dialer - 2 штуки (число прописью "[b]две[/b]" :) ) из 468 предложенных ....

Четко ясно и не подлежит к обсуждению :) буем терь иметь ввиду
Спасибо за проверку Олегу и Гессеру за разЪяснение

Фрагмен про "Trojan Horse jaaste.dll в паре с KB290333.dll" перенесен в раздел "Помогите" ... - [url="http://virusinfo.info/showthread.php?t=3111"]http://virusinfo.info/showthread.php?t=3111[/url]

А как все таки насчет NOD32 ? Или я пропустил результаты его тестирования?

[QUOTE=Arhimed]А как все таки насчет NOD32 ? Или я пропустил результаты его тестирования?[/QUOTE]
Не тестировался - результаты у него на уровне средних, но пробная версия не удаляет файлы оптом ... поштучно из лога - легко, но все оптом - я такого там не нашел. Поэтом и результатов нет

[QUOTE=Зайцев Олег]Не тестировался - результаты у него на уровне средних, но пробная версия не удаляет файлы оптом[/QUOTE]

Могу скинуть не пробную русскую версию (скажи куда, размер ~ 8 Мб), и дать адрес одного из зеркал для обновления баз.

[QUOTE=Arhimed]Могу скинуть не пробную русскую версию (скажи куда, размер ~ 8 Мб), и дать адрес одного из зеркал для обновления баз.[/QUOTE]
Скинуть можно на [email][email protected][/email] ... я потестирую.

[b]Тесты NOD32[/b]
Установка прошла без проблем, потребовалась перезагрузка. Инсталлятор хорошо продуман, задает кучу вопросов в понятной для пользователя форме.
Тест велся на максимуме (включены все опции, проверки архивов, упаковщиков ..., макс. эвристика). Сразу можно отметить, что сканирует он сравнительно быстро, но при включении всего на максимум естественное тормоза имеют место. Эвристик реально срабатывает, я видел десятка два срабатываний, причем по делу.
Из минусов - цифра уколо прогресс-индикатора у меня мигала и показывала 0% все время. За диалог лечения разработчиков нужно побить :) Тем нет кнопки "Прервать" и главное "Применить для всех". Т.е. если зверей много и утановлено "спросить пользователя", то придется покупать новую мышь ... или снимать сканер, запускать по новой с настройкой "очистить/удалить".
В статистике те 20 файлов (или около того), что поймал эвристик, "пошли в зачет", что я считаю справедливым.
В общей сложности он "прозевал" 1435 файлов (т.ю. примерно 30% от предъявленных образцов), вот цифры
[b]AdvWare 470[/b]
Adware 1
Backdoor 91
Constructor 1
[b]Dialer 213[/b]
Downloader 0
Email-Flooder 0
Email-Worm 1
Exploit 8
HackTool 2
Hoax 0
IM-Worm 0
Net-Worm 1
P2P-Worm 0
Porn-Dialer 0
Porn-Downloader 0
PornWare 0
PSWTool 1
RiskWare 3
[b]Spy 194[/b]
Trojan 62
Trojan-Clicker 41
[b]Trojan-Downloader 184[/b]
Trojan-Dropper 15
Trojan-Proxy 5
Trojan-PSW 8
[b]Trojan-Spy 133[/b]
Virus 0
Worm 1
Общее число файлов: 1435

Общий вывод - ловит неплохо, но почти половину AdWare/SpyWare/Dialer прозевал

Спасибо за тестирование!
Результат более-менее обнадеживает, менять антивирус пока не буду :) , просто буду использовать в комплексе с AVZ.

[QUOTE=Arhimed]Спасибо за тестирование!
Результат более-менее обнадеживает, менять антивирус пока не буду :) , просто буду использовать в комплексе с AVZ.[/QUOTE]
стоит еще заметить (раз тест сравнительный), что результаты тестов WEB, Bitdefender и NOD близко похожи - все они выбили более 60% зверья тестовой коллекции ...

А где можно посмотреть сводную табличку этих тестов (желательно в расширенном виде, не только общий процент - но и проценты детектирования по классам)?

[QUOTE=Terry]А где можно посмотреть сводную табличку этих тестов (желательно в расширенном виде, не только общий процент - но и проценты детектирования по классам)?[/QUOTE]
По окончанию тестов я сведу все цифры воедино. По идее нужно еще раз просмотреть, все ли на месте - вроде, все известные продукты протестированы (VBA, UNA, AVP - вне теста, т.к. с ними идет обмен "зверьем" и цифры не будут отражать объективное состояние дел)

Будем ждать результатов тестов :)
А вообще странный тест получился. Изначально тема была "Борьба с Spyware, Adware, Hijackers" и тестировались (насколько я заметил) специализированные программы по борьбе с этим зверьём. А тепрь вот гляжу и антивирусы тестятся вовсю. Или всё-таки они тестируются порознь и не сравниваются друг с другом?

Из более-менее известных антивирусов тестирования избежала только Панда. Как насчёт её проверки?

[QUOTE=Terry]Будем ждать результатов тестов :)
А вообще странный тест получился. Изначально тема была "Борьба с Spyware, Adware, Hijackers" и тестировались (насколько я заметил) специализированные программы по борьбе с этим зверьём. А тепрь вот гляжу и антивирусы тестятся вовсю. Или всё-таки они тестируются порознь и не сравниваются друг с другом?[/QUOTE]
Тестируется все, что попадает под горячую руку :) На самом деле смысл теста ихначально был по етстированию спец-программ. Он показал, что для ловли SpyWare они мало приемлемы. Возник естетсвенный вопрос - а как обстоит дело с антивирями, которые ловят SpyWare/AdWare - вот отсюда все и пошло.
На самом деле я хочу отдельно провести независимый тест антивирусов - отдельно от данного.

[QUOTE]
Из более-менее известных антивирусов тестирования избежала только Панда. Как насчёт её проверки?
[/QUOTE]
Это из-за ее объема - большая очень. Но тут я порылся в столе - там завалялась лицензионная панда :) Я ее проинсталлю и протестирую...