ВОТ СТАТЬЯ ИЗ ЖУРНАЛА "ХАКЕР"
ВЗЯТО С
www.xakep.ruВ плагиате обвинять меня не надо, тк я видел подобную статью ещё не паре-тройке сайтов:-)))
Сравнительный анализ антивирусов 2005 №1
Прошло больше года с публикации нашей предыдущей статьи с анализом эвристических
анализаторов антивирусов. Мы решили вернуться к этой теме, расширив набор
представляемых антивирусов, что получилось - читай ниже.
Вирусная инфекция знакома нам с детства. В последнее время с завидной
регулярностью грипп появляется зимой и укладывает добрую половину сограждан в
постель. Данное явление стало вполне закономерным и уже привычным. Люди привыкли
к инфекции и приспособились. Сообщения об очередной эпидемии волнуют, пожалуй,
только сердобольных домохозяек и дают пищу для разговоров старушкам на лавочках
у подъездов. И все бы шло своим чередом, если бы в поток сообщений о "человеческой"
заразе не вклинивались информационные строки о заразе иного рода - компьютерной.
Бабушки разговоров на эту тему не ведут, домохозяйки же, найдя очередную заботу,
бросаются обсуждать все ужасы компьютерных вирусов с подругами, занимая и так
перегруженные телефонные линии. Без преувеличения можно констатировать:
компьютерные вирусы – чума XXI века. Лучшие умы человечества сейчас трудятся над
поиском вакцины! На сегодняшний день число антивирусных программ (далее АВП)
перевалило за 2 десяток. Пользователи не спят… ломают головы над тем, какую АВП
выбрать?? Взять бесплатную или отдать последние 100$, дабы обезопасить свою
информацию?
Давайте попробуем разобраться какой антивирус действительно толковый и что к
чему да почему. Особенно обратим внимание на мелочи, о которых помалкивают
разработчики АВП.
На операционном столе следующие антивирусные программы:
• Stop
• Panda
• F-Prot
• AVG Anti-Virus
• Avast
• AntiVIR
• UNA
• Trojan Remover
• Антивирус Касперского (КАВ)
• Dr WEB’а
• Norton AntiVirus
• McAfee
• NOD
На момент написания статьи все последние версии программ (при наличии standart,
professional версий – естественно использовала версия проф) были скачанной с
официальных сайтов разработчиков и обновлены.
Итак, начнем! Основной упор в тестировании делался на попытку обмануть,
одурачить АВП различными способами. Проверялась эвристика и прочее важнейшие
компоненты антивируса.
STOP: Очень расстроил это продукт. Заменяешь один байт в точке входа - файл не
обнаруживается. Упаковываешь файл – та же картина: антивирус молчит. То же мне
АВП… Ого…дак он еще и платный!!! Ужас…. Я согласен платить деньги за
лицензионный софт… но он должен быть соответствующего уровня. Мда…
PANDA: КАК МОЖНО ПРОВОДИТЬ ДИСКУСИИ ПО ПОВОДУ, ЧТО ЛУЧШЕ ПАНДА ИЛИ ВЕБ, ПАНДА
ИЛИ НОРТОН, ПАНДА ИЛИ АВП? ОНА ДАЖЕ НЕ УМЕЕТ РАСПАКОВЫВАТЬ СТАНДАРТНЫЕ
УПАКОВЩИКИ! Люди не будьте слепыми. У панды только дизайн хороший.
F-Prot: аналогичен двум вышеперечисленным, единственное, что радует большущая
база (более ста тысяч), но вот что-то я сомневаюсь, что тысяч 30 они туда не
дописали вручную. Большой плюс этого продукта – он работает с вирусами для
различных ОС (помимо Windows).
AVG Anti-Virus: никакого эмулятора. В основном смотрит только на точку входа, но
иногда решается заглянуть в начало секции кода. Возьмем спуфку (я использовал
Afx!AVSpoffer v.1.49
by fij) и антивирус в 99% случаев молчал. 1% - находил
вирус (смотрел на начало секции кода), но от упаковщика «умер» быстро. Меня
заинтересовало вот что: если антивирус не имеет эмулятора и смотрит только в
точку старта, значит, скорее всего, там нету и базы упаковщиков. Я просто
упаковал червя UPX-ом (по-моему, более распространенного нету) и антивирус сразу
замолчал. Как за такое деньги брать, не стыдно! Интерфейс тоже страдает, очень
неудобный. Правда, оболочка – вещь индивидуальная… так что тут решайте сами!
Avast: включил, «натравил» его на Интернет-червя Qaz. Страшная табличка и
женский голос «Waring there is a virus on your computer». Поменял один байт в
точке старта - АВП продолжает «ругаться». Это приятно. После спуфки v.1.49
вирус дальше опознается. Эмулятора нету - это видно сразу. Попробую упаковать.
Хм… мне кажется упаковщики - самое эффективное средство против ВСЕХ антивирусов,
спуфка - это так в помощь. В общем, антивирус умер. Попробуем упаковать оригинал.
Как и ожидалось после простой упаковки UPX-ом антивирус утих. Поищем сигнатуру.
Сигнатура для червя qaz хранилась по адресу .401f69 и после изменения этого
байта антивирус замолчал. Странно, это ведь не начало секции, да и до точки
старта далековато. Возникли подозрения, что он проверяет фиксированные адреса на
короткие сигнатуры, что я и решил проверить, но к радости разработчиков это не
оправдалось - червь Plage был опознан по ресурсам, а вот 3D stars по OEP. В
общем, упаковщик у злоумышленника, и куча вирусов у вас на ПК.
AntiVIR: Так себе продукт. Ну давайте к делу. Qaz был спрятан спуфкой v.149 (при
том, что уже есть спуфка 1.54). А вот с i.worm.Plage не удалось. Интересно, как
он отреагирует на простой упаковщик. Мда…. Лень, наверное, авторам поддерживать
кучу упаковщиков. Опять упаковщик сделал свое дело!
UNA аналогична вышесказанным. Дизайн слабоват. Распаковки упаковщиков – нет,
даже самых популярных. Если спуфка не справляется, что бывает крайне редко, то,
как всегда, используем упаковщик.
Trojan Remover: не опознал ни одного из "старых отцов". Из более новых Magistr'a
и еще парочку опознал по ресурсам, похоже больше он никуда не смотрит. АВП
написана не шибко грамотно, если не ошибаюсь, на Delphi, эмуляторов кода нет.
Обновление базы сделано самым неудачным образом, который только можно встретить,
база вирусов крохотная (около 8000) и, вообще, утилита для развлечения мне
кажется, а еще и денег за нее просят.
ПРОДОЛЖЕНИЕ СЛЕДУЕТ...
