"Доктор Веб" выпускает бета-версию антивирусного ядра нового поколения

[B]"Доктор Веб" выпускает бета-версию антивирусного ядра нового поколения[/B]
[I]29 декабря 2007 года[/I] [url]http://info.drweb.com/show/2999/ru[/url]

Компания "Доктор Веб" объявляет о начале бета-тестирования нового поколения антивирусного ядра Dr.Web (в бета-версии ему присвоен номер 4.33.44). В новой версии реализован уникальный алгоритм несигнатурного обнаружения вредоносных кодов, который дополняет традиционные сигнатурный поиск и эвристический анализатор Dr.Web.

Новая технология, разработка которой велась в компании в течение последних 10 месяцев, дает возможность существенным образом повысить уровень детектирования ранее неизвестных вредоносных программ. "Наши аналитики и разработчики, безусловно, вывели антивирусную технологию на качественно новый уровень развития, - отмечает Борис Шаров, генеральный директор компании "Доктор Веб". - Мы давно изучали возможность использовать наши новые наработки в дополнение к традиционным средствам детектирования вирусов, в том числе неизвестных, так как это позволяет существенно повысить защищенность наших клиентов от новых, еще не известных вирусов. Мы рады, что смогли преподнести такой подарок нашим пользователям в канун Нового года!"

Бета версия доступна всем желающим. Для скачивания этой версии необходимо зарегистрироваться в качестве участника программы бета-тестирования антивируса Dr.Web в разделе бета-тестирования ([url]http://beta.drweb.com/[/url]) интернет-сайта компании "Доктор Веб".

Внимание! Вредоносные коды, которые обнаруживаются с применением новой технолоии, имеют в названии расширение ".Origin".

Ваши замечания Вы можете сообщать в систему учета ошибок [url]http://bugs.drweb.com/[/url]. Ложные срабатывания просьба высылать на адрес [URL="mailto:[email protected]"]Службы вирусного мониторинга[/URL].

[QUOTE=Shu_b;89441]Внимание! Вредоносные коды, которые обнаруживаются с применением новой технолоии, имеют в названии расширение ".Origin".[/QUOTE]
Выглядит это следующим образом:
F:\zzzz\agflwlhs.#xe упакован UPACK
>F:\zzzz\agflwlhs.#xe инфицирован Trojan.Popuper.origin

Не глядя предположу что это аналог Нодовского Генерик детектора..

[QUOTE=Sanja;89478]Не глядя предположу что это аналог Нодовского Генерик детектора..[/QUOTE]
А если глядя? ;)

[QUOTE=Sanja;89478]Не глядя предположу что это аналог Нодовского Генерик детектора..[/QUOTE]
Догонять всегда тяжело, но надо.:)

В моей свалке недетектируемого DrWeb-ом новая версия движка нашла такие разновидности:
Adware.Coupons.origin
Adware.MySearch.origin
Adware.MyWay.origin
Adware.nCase.origin
Adware.Spysheriff.origin
Dialer.Rasch.origin
Trojan.DownLoader.origin

Да, не плохо. Но новые распаковщики смогли распознать еще примерно столько же заразы. Так что "качественно новый уровень" это явное преувеличение.

Тем не менее новое качество налицо.

[QUOTE=AndreyKa;89533]В моей свалке недетектируемого DrWeb-ом новая версия движка нашла такие разновидности:
[/QUOTE]
На [email][email protected][/email] заслали? ;)

[QUOTE=borka;89579]На [email][email protected][/email] заслали? ;)[/QUOTE]
Нет. Эти уже были частично засланы, остальные отправлю после празников. А туда я заслал пару ложных срабатываний нового движка.

[QUOTE=AndreyKa;89581]Нет. Эти уже были частично засланы, остальные отправлю после празников.[/QUOTE]
Если были частично засланы ДО выхода беты, то придется перепосылать.

[QUOTE=AndreyKa;89581]А туда я заслал пару ложных срабатываний нового движка.[/QUOTE]
И это тоже... Кстати, а что это было?

[quote]уникальный алгоритм несигнатурного обнаружения вредоносных кодов[/quote]

Интересно было бы узнать подробнее, что скрывается за столь скромным и ничего не говорящим названием? Или это секретное ноу-хау компании? :stop: Под "несигнатурное обнаружение" можно подвести всё, что угодно. К примеру, эвристический анализатор или, скажем, поведенческий...

Или имелось в виду, что продвинутый движок Др.Веб только сейчас эволюционировал до возможности использования generic-записей? Тогда соглашусь с Александром: догонять всегда тяжело, но надо :smoke_man

[QUOTE=saicat;89635]Или это секретное ноу-хау компании? :stop:
[/QUOTE]
Разумеется, а Вы как думали? ;) Никто толком ничего не говорит...

[QUOTE=saicat;89635]Или имелось в виду, что продвинутый движок Др.Веб только сейчас эволюционировал до возможности использования generic-записей?[/QUOTE]
Насколько я помню, generic-записи были очень давно.

мнения разделились кто-то говорит что это, что-то типа нодовского Behaves like...
представитель др.веб говорит что это, что-то типа Софосовского генатипа, только немного реализовано подругому..
может у кого-то более доставерная инфаа есть что это такое?

[QUOTE=Ego1st;89667]представитель др.веб говорит что это, что-то типа Софосовского генатипа, только немного реализовано подругому..
[/QUOTE]
А где можно ознакомиться с мнением "представителя др.веб"?

[QUOTE=Ego1st;89667]может у кого-то более доставерная инфаа есть что это такое?[/QUOTE]
У разработчика, разумеется...

На антималваре.ру можно ознакомиться с мнением Valery Ledovskoy..

[QUOTE=Ego1st;89667]мнения разделились кто-то говорит что это, что-то типа нодовского Behaves like...[/QUOTE]
Это у BitDefender.;)
[QUOTE=Ego1st;89674]На антималваре.ру можно ознакомиться с мнением Valery Ledovskoy..[/QUOTE]
Это здесь [url]http://antimalware.ru/phpbb/viewtopic.php?t=1911[/url].

[quote]Это у BitDefender[/quote]

и у него тоже, вроде как очень похожие технологии=))

[QUOTE=Синауридзе Александр;89676]Это здесь [url]http://antimalware.ru/phpbb/viewtopic.php?t=1911[/url].[/QUOTE]
Угу, спасибо за ссылку. Оттуда же цитата того же Валерия: "Но я бы подождал более подробного описания от разработчиков."

Из объяснений Valery Ledovskoy в аналогичной ветке на [URL="http://antimalware.ru/phpbb/viewtopic.php?t=1911"]antimalware.ru[/URL] я понял, что данная технология позволит движку находить новые модификации зловредов, чьи сигнатуры уже есть в базе. Причем речь идет об обычных сигнатурах, а не о generic-подобных записях. Т.е. данная технология позволит автоматически находить модификации всех зверей, известных программе.

Звучит очень даже неплохо. Вопрос в том, насколько хорошо данная программа будет распознавать модификации и насколько серьезное изменение кода зловреда будет, тем не менее, опознано при помощи новой технологии... Время покажет, насколько данная технология окажется полезной. Ну и тесты, полагаю, тоже.

[QUOTE=saicat;89754]Из объяснений Valery Ledovskoy в аналогичной ветке на [URL="http://antimalware.ru/phpbb/viewtopic.php?t=1911"]antimalware.ru[/URL] я понял, что данная технология позволит движку находить новые модификации зловредов, чьи сигнатуры уже есть в базе. Причем речь идет об обычных сигнатурах, а не о generic-подобных записях. Т.е. данная технология позволит автоматически находить модификации всех зверей, известных программе.
[/QUOTE]
Странно. В анонсе говорится именно "уникальный алгоритм несигнатурного обнаружения вредоносных кодов..." А то, о чем говорит Валерий, было описано довольно давно, чуть ли не во времена Доси, и называлось "нечеткие" или "размытые" сигнатуры. Суть состояла в том, что на базе существующей сигнатуры строилась другая, измененная, которая меньше исходной по длине, но больше подходящая для нахождения новых модификаций.

это вы про based говорите, а тут что-то другое..

Где-то здесь (на форуме) об этом уже писалось:

>>C:\Program Files\Common Files\Wise Installation Wizard\WIS31EE24C0A8804B61A401982B52CA53BF_3_11_1.MSI\stream000\VBAgent.exe , возможно, инфицирован BACKDOOR.Trojan
>>C:\Program Files\Common Files\Wise Installation Wizard\WIS31EE24C0A8804B61A401982B52CA53BF_3_11_1.MSI\stream000\VBAgent.exe1 , возможно, инфицирован BACKDOOR.Trojan
>C:\Program Files\Common Files\Wise Installation Wizard\WIS31EE24C0A8804B61A401982B52CA53BF_3_11_1.MSI\stream000 - архив содержит инфицированные объекты
C:\Program Files\Common Files\Wise Installation Wizard\WIS31EE24C0A8804B61A401982B52CA53BF_3_11_1.MSI - архив содержит инфицированные объекты

Старые ложняки присутствуют и в уникальном алгоритме несигнатурного обнаружения вредоносного кода.:P

М да. Только зря время потратил - 5 машин прогнал. После NOD32 что-то найти почти нереально.:)

Так из баз специально убрали фиксы ложных подозрений эвристика. Видимо, чтобы не мешали.

[QUOTE=pig;89837]Так из баз специально убрали фиксы ложных подозрений эвристика. Видимо, чтобы не мешали.[/QUOTE]
Возможно, дело обстоит именно так. Спорить не буду.:)

[quote=borka]Кстати, а что это было?[/quote]
C:\Program Files\Panda Software\Panda Platinum 2006 Internet Security\pavoepl.dll - AdWare.nCase.origin
C:\WIN98\USB-IrDA\regdll.dll - Trojan.Richad.origin
Первый понятно кто, а второй от драйвера ИК-порта Tekram.

И еще одно нашел:
SRESCAN.DLL , возможно, инфицирован DLOADER.Trojan
это файл из состава ZoneAlarm 6.0.631.003
Текущая версия на него не ругается.

Написано же, несигнатурный метод. Каким образом несигнатурный метод может давать имя зловреда? По колебаниям астрала?

[QUOTE=saicat;89754]Из объяснений Valery Ledovskoy в аналогичной ветке на [URL="http://antimalware.ru/phpbb/viewtopic.php?t=1911"]antimalware.ru[/URL] я понял, что данная технология позволит движку находить новые модификации зловредов, чьи сигнатуры уже есть в базе. Причем речь идет об обычных сигнатурах, а не о generic-подобных записях. Т.е. данная технология позволит автоматически находить модификации всех зверей, известных программе.
[/QUOTE]

по всем высказываниям ответ - нет.

[QUOTE=AndreyKa;89848]C:\Program Files\Panda Software\Panda Platinum 2006 Internet Security\pavoepl.dll - AdWare.nCase.origin
C:\WIN98\USB-IrDA\regdll.dll - Trojan.Richad.origin
Первый понятно кто, а второй от драйвера ИК-порта Tekram.[/QUOTE]

AndreyKa, было бы не лишним отправить эти файлы в вируслаб Вэбу (уверен, адрес Вы помните), с указанием в теле письма об использовании бета технологии "несигнатурного анализа". Как раз подобные детекты и ждут сейчас от бета тестеров - информацию собирают, видимо, для юстировки технологии!

[QUOTE=AndreyKa;89848]И еще одно нашел:
SRESCAN.DLL , возможно, инфицирован DLOADER.Trojan
это файл из состава ZoneAlarm 6.0.631.003
Текущая версия на него не ругается.[/QUOTE]

Как уже выше писАлось, подобные детекты будут часто всплывать с данными базами, т.к. из них исключили уже исправленные ложные срабатывания. Видимо для чистоты эксперимента...

Регистрироваться у них неохота для получения беты - киньте кто нибудь эту версию на FTP или через службу отправки чистых файлов - заберу его и погоняю. У меня экспериментальная система на базе ИР ловит зловредов тысячами в день - я просто прогоню их сканер по кешу моей системы и можно объективно сказать, что дает эта технология.
По туманным описаниям "ноу-хау" я могу предположить, что в базе у них в дефиниции зловреда >1 сигнатуры (типовой подход - 2 сигнатуры - преддект + детект). Выдавать подозрения по совпадению сигнатуры преддетекта опасно - будет куча ложняков. Но предположим, что есть Trojan.Win32.X. Для него известно 100 разновидностей. Анализируем 101-ю - полного детектирования нет, но есть частичный, скажем по дефинициям 7, 24, 46, 67, 89, 95. В этой ситуации можно использовать этот "эффект преддетекта" - в случае множественного частичного совпадения можно использовать это как вариант эвристики - в этом случае на эвристику будет работать вся AV база.

[QUOTE=Зайцев Олег;89857]Регистрироваться у них неохота для получения беты - киньте кто нибудь эту версию на FTP или через службу отправки чистых файлов - заберу его и погоняю.[/QUOTE]

Сори, не могу залить на [url]http://www.virusinfo.info/upload_virus.php:[/url]
Unknown error. File not uploaded...
Может прокся на сервере хулиганит! :(

[QUOTE=Casper;89859]Сори, не могу залить на [url]http://www.virusinfo.info/upload_virus.php:[/url]
Unknown error. File not uploaded...
Может прокся на сервере хулиганит! :([/QUOTE]
Похоже глюк после переезда. Постараюсь глянуть вечером

Окей, напомните адрес ftp сервера, куда можно залить архивчик запрашиваемый Олегом?

[QUOTE=pig;89837]Так из баз специально убрали фиксы ложных подозрений эвристика. Видимо, чтобы не мешали.[/QUOTE]
Из баз убрали ВСЕ фиксы ложняков, не только эвристика.

[QUOTE=AndreyKa;89848]И еще одно нашел:
SRESCAN.DLL , возможно, инфицирован DLOADER.Trojan
это файл из состава ZoneAlarm 6.0.631.003
Текущая версия на него не ругается.[/QUOTE]
Ложняк, ИМХО.

[QUOTE=Geser;89860]Похоже глюк после переезда. Постараюсь глянуть вечером[/QUOTE]
Такое впечатление, что ругань идет ужЕ после аплоуда. Гляньте, не пришел ли случаем betadrweb.rar

[QUOTE=borka;89864]Такое впечатление, что ругань идет ужЕ после аплоуда. Гляньте, не пришел ли случаем betadrweb.rar[/QUOTE]

У Вас, Борис, такая же проблема? У меня тоже сложилось такое же впечатление, т.к. сам файл мирно ушел в сеть. Отправлял 2 раза, так что помимо betadrweb.rar, там должно быть 2 архива DrWeb.rar (теоретически, естественно)...

[QUOTE=Casper;89865]У Вас, Борис, такая же проблема? У меня тоже сложилось такое же впечатление, т.к. сам файл мирно ушел в сеть. [/QUOTE]
Ага, то же самое. :(

Олег, по идее можно на ftp слить, вот только адресочек бы... ;)

[QUOTE=Casper;89867]Олег, по идее можно на ftp слить, вот только адресочек бы... ;)[/QUOTE]
У меня на сайте FTP не настроен, можно на ftp virusinfo.info - параметры в закрытом разделе, в теме про FTP. Но еще лучше и проще - положить его на rapidshare.ru или rapidshare.com

[QUOTE=Зайцев Олег;89870]У меня на сайте FTP не настроен, можно на ftp virusinfo.info - параметры в закрытом разделе, в теме про FTP. Но еще лучше и проще - положить его на rapidshare.ru или rapidshare.com[/QUOTE]
В личку.