На портале [url]www.anti-malware.ru[/url] 26.02.2008 г. были опубликованы результаты тестирования антивирусных продуктов на обнаружение полиморфных вирусов проведённый специалистами этого ресурса. Подробно [url]http://antimalware.ru/index.phtml?part=tests&test=polymorphic[/url]
Неглядя предположу, что везде попедила Avira ;)
Я угадал?
Аха. Она действительно хорошо ловит вирусы или это реклама?
Немцы жгут, никакой подставы :)
Кстати странно что аваст лучше avg =)
Незнаю. Но у них он всегда побеждает.
авира - параноик. видит криптованный файл - и начинает ругаться
(от этого, кстати много ложных срабатываний)
...хм...интересный тест, кстати
Я не мог просто прочитать и ничего не написать, так как не только коллекционирую полиморфные вирусы, но и одно время занимался их изучением.
По формированию коллекции у меня особых нареканий нет (вот только семейство Allaple - это сетевые черви). Но вполне возможно, что и в нем присутствует элемент полиформизма (я просто с этим экземпляром не знаком). Для каждого семейства не плохо было указать уровень полиформизма (то на сколько изменяется код вируса). Максимальный, кажется, 5.
По методике тестирования нареканий нет вообще. Тут сработано четко.
[QUOTE]Кроме этого качество обнаружения полиморфных вирусов, как наиболее сложных, может косвенно свидетельствовать об уровне профессионализма специалистов антивирусных лабораторий. Им необходимо не только тщательно проанализировать сложнейшие образцы вирусов, но и выработать надежные процедуры и методы по их 100% обнаружению.[/QUOTE]
Это очень важный момент.
[QUOTE]При проверке находящихся на компьютере файлов классическим способом производится поиск соответствий определенной сигнатуре (вирусному следу). Если изменить код вируса, на который была сделана сигнатура, то обнаружить его данной сигнатурой уже будет невозможно. Подобные изменения полиморфный вирус делает в любой своей части.[/QUOTE]
Еще один важный момент. Именно поэтому, очень важно определить уровень полиформизма.
[QUOTE]Цель данного теста - проверить качество работы специальных алгоритмов по обнаружению современных полиморфных вирусов.[/QUOTE]
А вот здесь покритикую. Важно не только проверить качество алгоритмов по обнаружению, но и качество алгоритмов по лечению. Ведь это не троянцы, которых можно просто удалять и все. К моему большому сожалению и удивлению это сделано не было. На практике выясняется, что не все антивирусы могут качественно лечить не только полиморфные, но даже файловые вирусы.
Результаты теста удивлений не вызывают. Очень интересно было бы увидеть результат на качество лечения. Это я высказал в качестве пожелания.:) Заодно и определить был ли тест предвзятым.
P. S. За ссылку конечно спасибо SDA!:)
[quote=Синауридзе Александр;208565]На практике выясняется, что не все антивирусы могут качественно лечить не только полиморфные, но даже файловые вирусы.
[/quote]
Не то что не все, а большинство. Расслабились, так сказать, вендоры. Главное запихнуть в базу, задетектить и удалить.
[QUOTE]
Очень интересно было бы увидеть результат на качество лечения.
[/QUOTE]
Ага, так сразу и сделают. Тогда совсем другие результаты будут :D Так не интересно будет
[quote=Синауридзе Александр;208565] Максимальный, кажется, 5.
[/quote]
5 чего?
З.Ы. Что касается этого теста - то он очень сложен. Много сложнее любого другого. И времени на проведение теста на лечение зараженных файлов просто не оказалось. Да и тогда тест окажется еще сложнее - будет необходимо проверять на работоспособность все пролеченные файлы, а их там очень много.
[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]
[quote=ALEX(XX);208566]Ага, так сразу и сделают. Тогда совсем другие результаты будут :D Так не интересно будет[/quote]
Да, результаты будут совсем иные. Но не поэтому такой тест не провели ;)
[QUOTE=vaber;208569]5 чего?[/QUOTE]
5 - максимальный уровень полиформизма.
[QUOTE=vaber;208569]З.Ы. Что касается этого теста - то он очень сложен.[/QUOTE]
Соглашусь.
[QUOTE=vaber;208569]Много сложнее любого другого.[/QUOTE]
И тут соглашусь.
[QUOTE=vaber;208569]И времени на проведение теста на лечение зараженных файлов просто не оказалось. Да и тогда тест окажется еще сложнее - будет необходимо проверять на работоспособность все пролеченные файлы, а их там очень много.[/QUOTE]
Во-первых, по логу антивируса видно сколько он удалил. Было такое, что один антивирус удалял, а другой успешно лечил. Во-вторых, проверить можно часть файлов. Я проверял в среднем от 20 до 30 вылеченных файлов.
[QUOTE=vaber;208569]Да, результаты будут совсем иные. Но не поэтому такой тест не провели ;)[/QUOTE]
Мы с Вами знаем какими они будут.:)
[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]
[QUOTE=ALEX(XX);208566]Не то что не все, а большинство. Расслабились, так сказать, вендоры. Главное запихнуть в базу, задетектить и удалить.[/QUOTE]
Были случаи когда аналитики с первого раза не могли определить, что присланный файл заражен! У нас на форуме тут инфа проскакивала. Сейчас просто искать лень.:)
[quote=Синауридзе Александр;208579]5 - максимальный уровень полиформизма.
Во-первых, по логу антивируса видно сколько он удалил. Было такое, что один антивирус удалял, а другой успешно лечил. Во-вторых, проверить можно часть файлов. Я проверял в среднем от 20 до 30 вылеченных файлов.
[/quote]
5 чего? Не бананов же :)
Так в таком тесте нас не интересует принципиальна возможность лечения/нелечения - было бы важно определить, насколько антивирус А качественнее лечит, чем Б. То есть один лечит 99,9% а другой 95,1% зараженных файлов на выборке в десятки тысяч файлов. 20-30 тут ничего не покажешь.
[QUOTE=vaber;208586]5 чего? Не бананов же :)[/QUOTE]
А какая разница? Баллов по шкале Рихтера, пунктов NASDAQ, попугаев, в конце концов...
Угу, так бы и записали в методике теста: полиморфные вирусы выбирались в соответствии с попугаями - а именно, имеющие 4 и 5 попугаев :))))
[QUOTE=vaber;208586]5 чего? Не бананов же :)[/QUOTE]
5 уровней! Изволите продолжить. Хорошо, давайте.:)
Выделяют несколько уровней полиморфизма (мне известны 5), используемых в вирусе. Каждый из них по-разному реализует неодинаковый размер файлов, которые были им заражены.
[B]Уровень 1.[/B] Простые полиморфные вирусы. Они используют постоянные значения для своих расшифровщиков, поэтому легко определяются антивирусами.
[B]Уровень 2.[/B] Вирусы, имеющие одну или две постоянные инструкции, которые используются в расшифровщике. Могут определяться по сигнатуре, но имеют более сложное строение, чем представители уровня 1.
[B]Уровень 3.[/B] Вирусы, использующие в своем коде команды-мусор. Это помогает запутать собственный код.
[B]Уровень 4.[/B] Использование взаимозаменяемых инструкций с перемешиванием в коде, без дополнительного изменения алгоритма расшифровки. Это помогает запутать антивирус. При этом невозможно поймать такой вирус по стандартной маске. Антивирусу нужно выполнять перебор, после которого нужная сигнатура будет найдена.
[B]Уровень 5.[/B] Реализация всех вышеизложенных уровней с поддержкой различных алгоритмов в расшифровщике помогает достичь высокого уровня полиморфизма. Также, при этом может существовать несколько параллельных процессов расшифровки, когда один будет преобразовывать код другого или наоборот. Распознать такой вирус очень сложно. Для этого нужно произвести тщательный анализ кода самого расшифровщика. С лечением еще сложнее. Тут нужно трассировать не только сам генератор, но и тело самого вируса.
[QUOTE=vaber;208586]Так в таком тесте нас не интересует принципиальна возможность лечения/нелечения - было бы важно определить, насколько антивирус А качественнее лечит, чем Б. То есть один лечит 99,9% а другой 95,1% зараженных файлов на выборке в десятки тысяч файлов. [/QUOTE]
Вы сами себе противоречите?
[QUOTE=vaber;208586]20-30 тут ничего не покажешь.[/QUOTE]
Ну, хоть так.
[quote=Синауридзе Александр;208593]5 уровней! Изволите продолжить.
[/quote]
Вот теперь понятно,ч то за уровни полиморфизма Вы имели ввиду. Понятное дело, что в тесте должны быть сложные полиморфы и при этому свежие - например до годовой давности. Что и было сделано :)
[quote=Синауридзе Александр;208593]
Вы сами себе противоречите?
[/quote]
Где?
[quote=Синауридзе Александр;208593]
Ну, хоть так.
[/quote]
Если следующий тест будет - то будет и лечение :)
[QUOTE=vaber;208596]Понятное дело, что в тесте должны быть сложные полиморфы и при этому свежие - например до годовой давности. Что и было сделано :)[/QUOTE]
А тут все было сделано четко.
[QUOTE=vaber;208596]Где?[/QUOTE]
Здесь:
[QUOTE=vaber;208586]Так в таком тесте [COLOR="Red"]нас не интересует [/COLOR]принципиальна [COLOR="red"]возможность лечения/нелечения [/COLOR]- было бы [COLOR="red"]важно определить[/COLOR], [COLOR="red"]насколько антивирус[/COLOR] А [COLOR="red"]качественнее лечит[/COLOR], чем Б. То есть один лечит 99,9% а другой 95,1% зараженных файлов на выборке в десятки тысяч файлов. [/QUOTE]
[QUOTE=vaber;208586]Если следующий тест будет - то будет и лечение :)[/QUOTE]
А он должен быть. Иначе смысл первого вообще пропадает.
P. S. Я проводил свой тест не на старой коллекции по методике аналогичной Вашей. Тестировались KAV, Symantec, Dr.Web, NOD32 и VBA32 (других в наличии у меня не было). Скажу по-секрету, мой любимый NOD32 облажался по полной программе, но показал не самый худший результат.;)
Было бы гораздо интересней узнать, кто показал лучшее результаты...
Александр, не поведаете нам результаты своего теста?:)
[quote=Синауридзе Александр;208602]\
Здесь:
[/quote]
Я имел ввиду, что важно не просто знать лечит или не лечит - а важно знать насколько качественно он это делает.
Ну что же, хорошо.:) По моим тестам, наилучшие результаты [U]в плане лечения[/U] показал Dr.Web. VBA32 оказался на втором месте. Однако он существенно уступает Dr.Web. Про остальных промолчу.
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
[QUOTE=vaber;208605]Я имел ввиду, что важно не просто знать лечит или не лечит - а важно знать насколько качественно он это делает.[/QUOTE]
И это очень важный момент.;)
А какие имена у полиморфов, что Вы применяли в своем тесте?
В тесте были несколько вариантов Win32.Virut, Win32.Dwee, Win32.Alman, Win32.Polipos. Полный список сейчас не вспомню.
На этих перечисленных доктор веб и касперский должны иметь хорошие результаты.
Ну это не полный список, а только то что вспомнилось. В плане качества лечения Dr.Web показал наилучший результат, а вот KAV и Symantec наихудшие. По Win32.Polipos: помню KAV показал наихудший результат.
Печален тот факт, что на момент начального заражения вирусом многие антивирусы его вообще не видят в системе. Исключение составляет Dr.Web.
[quote=Синауридзе Александр;208613]Ну это не полный список, а только то что вспомнилось. В плане качества лечения Dr.Web показал наилучший результат, а вот KAV и Symantec наихудшие. По Win32.Polipos: помню KAV показал наихудший результат.
Печален тот факт, что на момент начального заражения вирусом многие антивирусы его вообще не видят в системе. Исключение составляет Dr.Web.[/quote]
Хм...очень странный у Вас результаты получились.
Тогда в связи Вами сказанном еще пару вопросов:
1) Когда проводился Ваш эксперимент по лечению полиморфов?
2) Под какой виртуалкой проводился тест?
3) По поводу начального заражения...то есть на момент заражения у всех антивирусов кроме доктор веба отсутствовал детект на родительский файл?
[QUOTE=vaber;208616]Хм...очень странный у Вас результаты получились.[/QUOTE]
Возможно. Я не говорю, что мой тест был правильным или идеальным. Скорее даже дилетантским. Ваш тоже сделан на половину.
[QUOTE=vaber;208616]Тогда в связи Вами сказанном еще пару вопросов:
1) Когда проводился Ваш эксперимент по лечению полиморфов?[/QUOTE]
Тест проводился прошлым летом.
[QUOTE=vaber;208616]2) Под какой виртуалкой проводился тест?[/QUOTE]
Под VMWare.
[QUOTE=vaber;208616]3) По поводу начального заражения...то есть на момент заражения у всех антивирусов кроме доктор веба отсутствовал детект на родительский файл?[/QUOTE]
В том то и дело, что присутствовал.
[quote=Синауридзе Александр;208618]Возможно. Я не говорю, что мой тест был правильным или идеальным. Скорее даже дилетантским. Ваш тоже сделан на половину.[/quote]
Он не мой ;) И я не говорил что Ваш тест дилетантский :)
[quote=Синауридзе Александр;208618]
Тест проводился прошлым летом.
[/quote]
Тогда все ясно.
[quote=Синауридзе Александр;208618]
Под VMWare.
[/quote]
Win32.Alman имеет детект виртуальной машины Vmware и выключает ее при своем запуске ;)
[QUOTE=vaber;208619]И я не говорил что Ваш тест дилетантский :)[/QUOTE]
Это я сам сказал.:)
[QUOTE=vaber;208619]Тогда все ясно.[/QUOTE]
Ясно что?
[QUOTE=vaber;208619]Win32.Alman имеет детект виртуальной машины Vmware и выключает ее при своем запуске ;)[/QUOTE]
Это один момент.
А вот уже другой, мне не понятный. Заражаем машину Win32.Polipos. Работаем на ней сутки. Все это уже без VMWare. Сканируем консольным сканером VBA32. Он ничего не находит. Странно.
[quote=Синауридзе Александр;208565] На практике выясняется, что не все антивирусы могут качественно лечить не только полиморфные, но даже файловые вирусы.[/quote]
Это ещё ладно - а как насчёт того, что машины заражаются [b]несмотря на детекта[/b]? То есть - вы нажимаете на 'ОК, убей', а эффекта от этого никакого - только потом 'лечат' если везёт.
Ещё раздражает, что не все связанные с заражением файлы убираются - этот хлам обычно остаётся на компе как 'неактивным'. И ключи реестра тоже часто не отчищают или восстанавливают как следует...
Paul
[QUOTE=p2u;208627]Ещё раздражает, что не все связанные с заражением файлы убираются - этот хлам обычно остаётся на компе как 'неактивным'. И ключи реестра тоже часто не отчищают или восстанавливают как следует...[/QUOTE]
Полностью с Вами согласен.:)
Скажу также, что я лицо не заинтересованное и восхвалять один антивирусный продукт и хаить другой мне смысла нет. Тем более, что под виндами я практически не сижу, да и Dr.Web не использую из принципиальных соображений. Что касается теста на anti-malvare.ru, то нужно провести проверку на качество лечения. Это мое мнение.
[quote=Синауридзе Александр;208624]
Ясно что?
[/quote]
Это объясняет возможность таких результатов :)
[quote=Синауридзе Александр;208624]
Что касается теста на anti-malware.ru, то нужно провести проверку на качество лечения. Это мое мнение.[/quote]
В следующем тесте с полиморфами :)
[QUOTE=Синауридзе Александр;208593]5 уровней! Изволите продолжить. Хорошо, давайте.:)[/QUOTE]
Вообще говоря, цитата имеет в своей основе опубликованную в киевском вирусном андерграунд-журнале "Infected Voice" классификацию Игоря Данилова:
[code]
Классификация полиморфиков по Данилову.
Полиморфными вирусами называются вирусы, шифрующие свой код
различными способами (обычно, использующие различные ключи
шифрования) во время заражения файлов или программ. Обычно, такие
вирусы содержат код генерации шифровщика и расшифровщика. Как
правило, создаваемые данным генератором шифровщики и соответствующие
им расшифровщики, отличаются друг от друга в различные моменты
времени. Для зашифрованной части вирусного кода обязательно должна
существовать подпрограмма правильного расшифрования - расшифровщик
или декриптор (decryptor).
В полиморфных вирусах расшифровщик не является постоянным - он
изменяется для каждого инфицированного файла. Данная особенность не
позволяет детектировать инфицированный файл по характерной для
данного вируса строке (маске или сигнатуре).
Существуют определенные уровни вирусного полиморфизма. Они были
определены Alan Solomon, Mechanism of Stealth, Proceedings Fifth
International Computer Virus and Security Conference, New York, March
1992, pp. 232-238.
Коротко об уровнях.
Уровень 1. Вирусы используют постоянные значения для разных
своих расшифровщиков. Такие вирусы можно определить по некоторым
постоянным участкам кода в расшифровщике. Такие вирусы, иногда,
называют "не очень полиморфными" или олигоморфными (oligomorphic).
Вирусы: Cheeba.A (2 decryptors), Cheeba.B (2), December_3rd (2),
Slovakia.2_00 (8), Slovakia.2_02 (8), Slovakia.3_0 (8), V-Sign (6),
Whale (34).
Уровень 2. Расшифровщик имеет постоянной одну или несколько
инструкций. Hапример, использует различные регистры, некоторые
альтернативные инструкции в расшифровщике. Такие вирусы также можно
определить по маске - сочетаниям определенных байт в декрипторе.
Вирусы: ABC, DM.330, Flip, Jerusalem.Moctezuma, Ontario.1024,
PC-Flu, Phoenix.1226, Phoenix.2000, Phoenix.Evil, Phoenix.Phoenix,
Phoenix.Proud, Seat, Stasi, Suomi, Virus-101, VS.3900, VS.4000,...
Уровень 3. Вирусы, использующие в расшифровщике команды, не
участвующие в расшифровании вирусного кода, или "команды-мусор". Это
такие команды, как NOP, MOV AX,AX, STI, CLD, CLI,... Данные вирусы
также можно детектировать с помощью маски, если произвести
"отсеивание" всех "мусорных" команд.
Вирусы: Tequila, StarShip, V2Px.V2P1, V2Px.V2P1.Casper,
V2Px.V2P2, V2Px.V2P6, DrWhite,...
Уровень 4. Использование в расшифровщике взамозаменяемых
инструкций и "перемешивание" инструкций между собой без изменения
алгоритма расшифрования. Hапример, команда MOV AX,BX имеет
взаимозаменяемые инструкции: PUSH BX - POP AX; XCHG AX,BX; MOV CX,BX
- MOV AX,CX; .... В принципе, возможно детектирование данных вирусов
с помощью некоторой перебираемой маски.
Уровень 5. Включает в себя использование всех перечисленных выше
уровней, а также расшифровщик может использовать различные алгоритмы
расшифрования вирусного кода. Также возможно использование, для
расшифрования основного вирусного кода, расшифровки части самого же
декриптора или нескольких расшифровщиков, поочередно расшифровывающих
друг друга, либо, непосредственно, вирусный код. Как правило,
детектирование вирусов данного уровня полиморфизма с помощью
сигнатуры невозможно. Процесс детектирования и, особенно, лечения
такого вируса - очень сложная задача и, может быть, довольно
продолжительна по времени (difficult and time-consuming task). Если
для детектирования такого вируса возможен серьезный анализ кода
только самого расшифровщика, то для лечения необходимо произвести
частичную или полную расшифровку тела вируса, для извлечения
оригинальной информации о зараженном файле. Из известных мне
антивирусов лечение вирусов последнего уровня полиморфизма производят
-V и Dr. Web. SMEG-вирусы, по крайней мере, больше лечить никто не
берется.
Вирусы 4 и 5 уровней: MtE, TPE, APE, DAME, DSME, DSCE, NED,
MGEN, CLME, SMEG-based, Uruguay,...
И в заключение, существует еще 6 группа полиморфных вирусов. Это
нешифрованные вирусы, - это вирусы, состоящие из программных
единиц-частей, которые "перемешиваются" внутри тела вируса. Данные
вирусы, как "кубики" тасуют свои подпрограммы (инсталляции,
заражения, обработчика прерывания, анализа файла и т.д.). Такие
вирусы называются пермутирующими (permutating).
К данным вирусам относятся: BadBoy, BadBoy.Worthless,
CommanderBomber, Leech, SN.1444,...
При подготовке данного сообщения была использована статья
Vesselin Bontchev 'Known Polymorphic Viruses', Secure Computing
January 1994 pp. 60-63.
. И. Данилов
[/code]