Комплексный сравнительный анализ антиSpyWare - подбор "кандидатов" и выбор методик

[pig]

http://virusinfo.info/showpost.php?p=48558&postcount=38

AVP с расширенной базой выбивает почти всех зверей из данного списка

[Geser]

http://virusinfo.info/showpost.php?p=48558&postcount=38

Проблема только в том, что Олег обычно посылает в ЛК всё новое. Так что тест в этом случае необъективен.

[Зайцев Олег]

Проблема только в том, что олех обычно посылает в ЛК всё новое. Так что тест в этом случае необъективен.

Да, большинстиво новых зверей я отсылаю в ЛК, поэтому тест будет необъективен. Аналогично с Ewido security suite - он поймал 3356 файлов из 4528, но состою с авторами Ewido security suite в одной команде по обмене ITW, поэтому в вирлаб Ewido ушли многие из зверей, участвующих в тестах.

[Shu_b]

Да, большинстиво новых зверей я отсылаю в ЛК, поэтому тест будет необъективен...

А что по другим антивирусам, декларирующим(внедряющим) ловлю данной категории зверей?
Dr.Web+nasty; BitDefender; NOD32; VBA; etc...
Было бы очень интересно, но наверно маловероятно, что есть время на подобное исследование. Как вариант... что из подборки определят онлайн проверки?

[Зайцев Олег]

А что по другим антивирусам, декларирующим(внедряющим) ловлю данной категории зверей?
Dr.Web+nasty; BitDefender; NOD32; VBA; etc...
Было бы очень интересно, но наверно маловероятно, что есть время на подобное исследование. Как вариант... что из подборки определят онлайн проверки?

OnLine проверку провести почти нереально - размер применяемых образцов очень велик, около 500 МБ. С VBA тест тоже будет некорректным - с ними тоже идет обмен "зверями". А вот NOD32, Dr.Web и BitDefender можно проверить

[Novosib]

Олег, a Avast можно проверить?

[Зайцев Олег]

Нет проблем - нужен прямой URL на его закачку (чтобы не было разночтения в версиях) и я прогоню его по своему "полигону"

[anton_dr]

avast! 4 Home - Russian version (length 8.69 MB)
http://files.avast.com/iavs4pro/setuprus.exe

[Зайцев Олег]

avast! 4 Home - Russian version (length 8.69 MB)
http://files.avast.com/iavs4pro/setuprus.exe

Готово, вот результат теста - из 4528 он нашел 1635 штук. Вот пропуски:
AdvWare 933
Adware 1
Backdoor 223
Constructor 1
Dialer 394
Downloader 1
Email-Flooder 0
Email-Worm 8
Exploit 9
HackTool 2
Hoax 1
IM-Worm 2
Net-Worm 2
P2P-Worm 2
Porn-Dialer 2
Porn-Downloader 1
PornWare 1
PSWTool 1
RiskWare 3
Spy 347
Trojan 137
Trojan-Clicker 43
Trojan-Downloader 454
Trojan-Dropper 49
Trojan-Proxy 29
Trojan-PSW 19
Trojan-Spy 225
Virus 2
Worm 1
Общее число файлов: 2893

[kps]

Предлагаю протестировать еще Bazooka Adware and Spyware Scanner

http://www.kephyr.com/spywarescanner/index.html

Скачать можно отсюда http://www.download.com/Bazooka-Adwa...ml?tag=lst-3-6

[kps]

Предлагаю протестировать еще Bazooka Adware and Spyware Scanner

http://www.kephyr.com/spywarescanner/index.html

Скачать можно отсюда http://www.download.com/Bazooka-Adwa...ml?tag=lst-3-6

А нет, лучше не стоит - скачал - вроде у него чуть больше 500 сигнатур... и вообще не произвел на меня никакого впечатления...

[kps]

Тогда предлагаю потестить Steganos AntiSpyware
http://www.steganos.com/?product=SAS...layout=default

Скачать можно отсюда: http://www.download.com/Steganos-Ant...l?tag=lst-3-25

[Novosib]

Совершенно новая версия AntiVir:

http://www.free-av.com/

Достойна проверки

[RiC]

Может ещё Ewido потестить - буржуи хвалят - http://www.ewido.net/en/download/
Known threats in database: 152 640
Даже Касперского переплюнула по количеству "зверей" в базе.
Неужто и правда чего-то стоит ?

[Участковый]

Для RiC:

... тест будет необъективен. Аналогично с Ewido security suite - он поймал 3356 файлов из 4528, но состою с авторами Ewido security suite в одной команде по обмене ITW, поэтому в вирлаб Ewido ушли многие из зверей, участвующих в тестах.

[Novosib]

А вот еще одна новая программа: SpyPry

http://www.download.com/SpyPry/3000-...l?tag=lst-0-12

[Зайцев Олег]

А вот еще одна новая программа: SpyPry

http://www.download.com/SpyPry/3000-...l?tag=lst-0-12

Программа прошла тесты ... и вот результат -
Программа написана на Basic. По непонятным причинам (вероятно, чтобы не раскрывать секретную технологию поиска ) базы размещаются в папке Windows\System32 под именами CompanyList.dll, ESignature.dll, FSignature.dll, List.dll, RSignature.dll, SKNames.dll. Несмотря на расширение "DLL" это обычные текстовые файлы, в котором данные хранятся в примитивно зашифрованном текстовом виде без намека на архивацию. При этом рапортуется, что в базе у него имеется 93585 "fingeprints".
После долгого и ожесточенного сканирования с ее помощью на тестовом ПК обнаружено 0 (число прописью - ноль штук ) из 4528 зверей. Я так и не понял шутки юмора - тем более что он в ходе "сканирования" показывает имена "проверяемых" файлов, там мелькают имена типа unit1.dcu, main.dfm, je.asm, nmap-service ... таких файлов у меня на тестовом ПК точно нет. Понимая, что быть может он реагирует на "зверей" в случае их запуска или размещения в определенных папках я выпустил штук 20-30 разных образцов, типа IstBar, SideFind, FreeSexDownloader ... короче говоря, результаты поиска по файлам нулевые, по реестру - найдено 10 ключей (5 без повторов, типа Software\IstBar).
Уже понимая, к чему идет дело, я переименовал первый попавшийся под руку exe (кажется, это был AVZ или утилита статистики, которой я считаю кол-во найденных файлов ... - короче, типовой exe файл) в C:\Program Files\couponsandoffers\wjview.exe (такое имя есть в базах этого суперпродукта) - и он был однозначно задетектирован как "CouponsandOffers" (это на фоне примерно 5000 зверей - 4528 в коллекции, плюс около 500 разбросаны по папкам типа Windows, System32 и т.п.) - из них нет вообще подаданий !
Короче говоря, общий вывод - программа как минимум бесполезна, как максимум -опасна, т.к. ловит файлы по именам и может запросто уничтожить что-то полезное.

[kps]

программа как минимум бесполезна, как максимум -опасна, т.к. ловит файлы по именам и может запросто уничтожить что-то полезное.

Ловить по именам это уже, похоже, становится традицией

[RiC]

Олег потестируй пожалуйста Web`a, интересно насколько эффективен сканер с "довеском". Сам сканер - ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

[Зайцев Олег]

Олег потестируй пожалуйста Web`a, интересно насколько эффективен сканер с "довеском". Сам сканер - ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

Нет проблем - завтра в обед протестирую ...