Маленький анализ NOD32

[Geser]

Тут народ с вохищением рассказывал как быстро работает это антивирус. Ну, помучаем его немножко.

Возьмём известный троян hxdef100. Упакуем его известным полиморфным пакером MORPHINE
Что мы получим?
File: hxdef100_mod.exe
Status: INFECTED/MALWARE
Packers detected: PE_PATCH.MORPHINE, MORPHINE

AntiVir No viruses found (1.46 seconds taken)
Avast No viruses found (4.56 seconds taken)
BitDefender Backdoor.Hacdef.1.0.0 (3.44 seconds taken)
ClamAV No viruses found (5.95 seconds taken)
Dr.Web No viruses found (5.69 seconds taken)
F-Prot Antivirus No viruses found (3.31 seconds taken)
Kaspersky Anti-Virus Backdoor.HacDef.084 (7.22 seconds taken)
mks_vir W32 (probable variant) (1.78 seconds taken)
NOD32 No viruses found (3.25 seconds taken)
Norman Virus Control No viruses found (7.39 seconds taken)


Правильно. Для НОД32 файл теперь чист. Счастливый владелец НОД32 хавает троян за милую душу, ничего не подозревая.

Ну ладно, MORPHINE типа сложный полиморфный пакер.
Возмём более простой и древний пакер PE-PACK
File: hxdef100.exe
Status: INFECTED/MALWARE
Packers detected: PE-PACK

AntiVir No viruses found (1.62 seconds taken)
Avast No viruses found (4.86 seconds taken)
BitDefender No viruses found (4.42 seconds taken)
ClamAV No viruses found (3.21 seconds taken)
Dr.Web BackDoor.HackDef.84 (4.72 seconds taken)
F-Prot Antivirus No viruses found (0.37 seconds taken)
Kaspersky Anti-Virus Backdoor.HacDef.084 (5.21 seconds taken)
mks_vir No viruses found (1.52 seconds taken)
NOD32 No viruses found (2.91 seconds taken)
Norman Virus Control No viruses found (5.36 seconds taken)


Уже и Dr.Web проснулся, хоть и они не очень дружат с пакерами. А НОД32 тихо хавает трояна не пискнув.

А здесь http://virusinfo.info/index.php?boar...ay;threadid=50 я проверял результаты обработки AvSpoffer. Так НОД и после него молчит как партизан, хоть там уже и BitDefender и даже Symantec просыпаются. А это значит плохой эмулятор, или вообще его отсутствие.

Нус, понятно откуда растёт быстродействие НОД32?

Поймите, нет чудес. Если антивирус работает быстро, то он просто халтурит. При этом НОД32, в отличае от того же Symantec, хотя бы имеет хорошую базу троянов(судя по моим избирательным проверкам). Потому в принципе можно сказать что антивирус совсем не плохой. И если очень достали тормоза КАВ, то можно поставить и НОД32. Но нужно понимать, что уровень защищённости падает.

[azza]

У меня на PE-PACK v1.0 NOD выдаёт "probably unknown NewHeur_PE", как и на некоторые другие пакеры. А вот Ezip 1.0 он вообще не знает.

[Geser]

У меня на PE-PACK v1.0 NOD выдаёт "probably unknown NewHeur_PE", как и на некоторые другие пакеры. А вот Ezip 1.0 он вообще не знает.

Скорее всего зависит от того, какой троян паковать.

[drongo]

вот кушает он действительно многовато . (7+17+4)=28 Мб
я уже почти всё поотключал , но безтолку .
проверку дисковода при рестарте и выключении тоже не получаеться отключить . хотя я убрал галку и перегрузился

[vicyo]

НОД быстро сканирует с дефолтными настройками, а если его настроить как следует, то этой быстроты особенно не замечаешь.





Разница в количестве просканенных файлов, с дефолтными настройками и настройками как на скриншотах - довольно существенная, соответственно какую-нибудь заразу можно и пропустить.

[Andrey]

С максимальными настройками монитор AMON у NOD'а 32 слегка притормаживает при открытии любого файла.
Сканере NOD32, с максимальными настройками, проверяет мой HDD на 120 GB минут за 20-30.

Вот тут еще один, правда достаточно посредственный, анализ NOD32:

http://ex-vdcom.ru/forum/viewtopic.php?t=266

[Andrey]

вот кушает он действительно многовато . (7+17+4)=28 Мб
я уже почти всё поотключал , но безтолку .
проверку дисковода при рестарте и выключении тоже не получаеться отключить . хотя я убрал галку и перегрузился

Ставь нормальный русификатор http://www.4ru.info/nod32.htm и намайся с настройками.

[Geser]

Вот тут еще один, правда достаточно посредственный, анализ NOD32:

http://ex-vdcom.ru/forum/viewtopic.php?t=266

Ну ты хотел что бы они за один день добавили.
За один день даже КАВ не всегда добавляют, а у них, насколько я знаю, самая оперативная реакция.

Ну ты хотел что бы они за один день добавили.
За один день даже КАВ не всегда добавляют, а у них, насколько я знаю, самая оперативная реакция.

VBA, например, добавляет Часики идут, посмотрим.
Вообще у меня такое подозрение, что саппорт у NOD32 хромает, основная задача хватать первые места в VirusBtn.

[Geser]

VBA, например, добавляет Часики идут, посмотрим.
Вообще у меня такое подозрение, что саппорт у NOD32 хромает, основная задача хватать первые места в VirusBtn.

Угу, VBA действительно добавляют очень оперативно. Но общее знание "зверей" у них пока хромает.

[Geser]

Вообще евристик у НОД хороший. Часто вижу он ругается на неизвестных "зверей". Вопрос только насколько часты ложные срабатывания. У тебя стоит НОД?

Вообще евристик у НОД хороший. Часто вижу он ругается на неизвестных "зверей". Вопрос только насколько часты ложные срабатывания. У тебя стоит НОД?

Да, но я из него использую только резидентный модуль (он эвристикой не ругается, возможно потому что не установлен DEEP уровень). А так нет привычки проверяться целиком

Угу, VBA действительно добавляют очень оперативно. Но общее знание "зверей" у них пока хромает.

На счет знания "зверей" я бы и поспорил. Нет в базе многих (даже очень) ДОС вирусов, поэтому на тестовых коллекциях возможны не удовлетворительные результаты. Но кому сейчас нужны эти досовские букашки. А вот на тест в VirusBtn я бы на них посмотрел бы с удовольствием.

Плюс иногда добавляют то, что не надо по принципу KAV. Хотя реагируют на такие заявления вполне адекватно и если программа реально не является деструктивной из базы могут и выкинуть.

Ну ты хотел что бы они за один день добавили.
За один день даже КАВ не всегда добавляют, а у них, насколько я знаю, самая оперативная реакция.

По поводу реакции, отослал вирусы в mks_vir получил ответ в течение нескольких часов, и не смотря на то что я не являюсь зарегестрированным пользователем даже поблагодарили. Напоминает приятное общение с разработчиками VBA.

[Geser]

По поводу реакции, отослал вирусы в mks_vir получил ответ в течение нескольких часов, и не смотря на то что я не являюсь зарегестрированным пользователем даже поблагодарили. Напоминает приятное общение с разработчиками VBA.

Ответ с результатом анализа?

Ответ с результатом анализа?

Нет, я думаю человеку который написал первое письмо нет смысла описывать тех. процесс (Хотя я бы не отказался). Антивирус кстати мне понравился. Обнаруживает достаточно много, имеет встроенный монитор registry:

2005-01-14 08:47:14
In key:
HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
following entry has been changed:
ssgrate.exe = C:\WINNT\system32\system.exe
Previous value:
[PUSTY]

Основная его проблема - ориентация на польский рынок, то есть даже с английским у них проблемы (о чем я им также написал).

Ну что я могу сказать mks_vir сегодня уже ловит один из вирусов, а конкретно Trojan.Win32.StartPage.tf (у них он идет под именем Trojan.Startpage.Tf.A).

NOD32 соизволил добавить из 7 только 1 вирус... Я расстроен...

Продолжил свои изыскания, решил не ограничиваться одним NOD-ом и MKS_VIR

http://ex-vdcom.ru/forum/viewtopic.php?p=569

Удивили показании Panda.