Наибольший интерес в плане исследования представляют эмуляторы. Именно эмуляторы, как одну из главных составляющих современной проактивной антивирусной защиты, мы рассматриваем в этом сравнительном тесте.
Содержание
1. Цели сравнения
Целью проведения данного сравнительного тестирования является проверка возможностей эмуляторов в различных антивирусных продуктах. Тест производился на наборе из 50 специально подготовленных для этой цели тестовых образцов (семплов), симулирующих действия различных вредоносных программ.
В тестовых образцах реализованы некоторые простейшие методики, затрудняющие эмуляцию и их анализ. Таким образом, по результатам данного сравнения можно в той или иной степени говорить об эффективности работы различных эмуляторов и их потенциале в детектировании еще неизвестных видов вредоносных программ.
2. Основные результаты
Таблица 1: Результаты сравнительного теста антивирусных эмуляторов
|
Результаты данного сравнения наглядно демонстрируют, что только 6 антивирусных продуктов могут похвастаться наличием в своем составе эффективного эмулятора. При этом 3 из них на момент проведения сравнения только готовятся к выходу в продажу.
Достаточно хорошие результаты (от 25% до 19%) показали также антивирусы DrWeb 4.44 beta, Avira AntiVir PE Classic 7 и ESET Smart Security beta 1, которые, безусловно, также можно считать достаточно эффективными.
В заключении стоит отметить, что продукты лидеров рынка (Symantec, McAfee, Trend Micro, Sophos) не имеют в своем составе эмуляторов, что наглядно показало это сравнительное тестирование.
Подробные результаты сравнительного теста антивирусных эмуляторов вы можете посмотреть в полном отчете в формате Microsoft Excel.
3. Что именно тестируется?
Как известно, для обнаружения вредоносных программ современные антивирусы используют целый набор различных технологий. Их можно разделить на следующие основные группы:
1. Поиск по сигнатурам
Этот метод основан на сравнении кода исследуемого образца с сигнатурами (определениями вредоносных объектов) из постоянно обновляемой базы данных. Этот метод надежен, дает однозначный вердикт, но ограничен этой самой антивирусной базой данных.
В случае неполного совпадения сигнатуры с анализируемым кодом антивирус может отметить файлы как подозрительные, но это возможно только с новыми разновидностями уже известных вредоносных программ.
Другим минусом сигнатурного анализатора является невозможность анализа сжатого или зашифрованного объекта - для анализа требуется распаковка/расшифровка, ограниченная поддерживаемыми антивирусом пакерами/криптерами
2. Проактивная защита и Firewall
Их работа состоит в изучении поведения программы после ее запуска - сравнительно просто обнаружить подозрительное поведение (например, модификацию системных файлов или обмен данными с объектами в сети), своевременно блокировать ее и поднять тревогу.
Явный минус этой технологии состоит в том, что для срабатывания проактивной защиты или компоненты Firewall требуется запустить файл. Кроме того, проактивная защита и Firewall требуют настройки, в частности создания правил для легитимных приложений
3. Эвристические методы
Эвристические методы нацелены на исследование файла, который не опознается сигнатурным сканером в качестве подозрительного или вредоносного. Их задача состоит в обнаружении еще неизвестных антивирусной компании вредоносных программ.
Эвристических технологий достаточно много, среди них можно выделить основные:
3.1 Сигнатурный метод
Основан на поиске характерных для вредоносной программы фрагментов кода и (или) констант.
3.2 Эмулятор
Как следует из названия, его задачей является эмуляция выполнения изучаемой программы. Качество эмуляции может быть разным - от примитивной эмуляции команд без эмуляции API функций до почти идеальной эмуляции работы программы в операционной системе. Хороший эмулятор является очень мощным инструментом для выявления новых видов malware, однако он уязвим перед специальными методиками защиты – так называемыми антиэмуляторами.
3.2 Эмулятор и сигнатурный анализ.
Также возможно использование одновременно двух вышеперечисленных эвристических технологий для детектирования еще неизвестных видов вредоносных программ, когда возможности эмулятора дополняются поиском в объекте специфических фрагментов кода.
4. Методология тестирования
Для сравнительного тестирования были отобранные только те антивирусные программы, которые содержат в себе хоть какой-то эмулятор. Таких антивирусов, широко представленных в настоящее время на рынке, оказалось всего 7, из которых 3 – DrWeb 4.44, Eset Smart Security и Kaspersky Anti-Virus 7.0, находились на момент тестирования в бете.
- Avira AntiVir PE Classic 7
- BitDefender Antivirus 10
- DrWeb 4.44 beta
- Kaspersky Anti-Virus 7.0.0.119 beta
- Eset Smart Security beta 1
- Norman Virus Control 5.82
- VBA32 3.12.0
Для наглядного сравнения к этой группе были добавлены персональные антивирусные продукты лидеров рынка: Symantec, McAfee, Trend Micro и Sophos.
- McAfee VirusScan 2007
- Sophos Anti-Virus 6.0
- Norton Anti-Virus 2007
- Trend Micro Internet Security 2007
Каждый продукт устанавливался на чистую виртуальную машину под управлением под управлением VMware GSX Server. После установки производилось обновление антивирусных баз и модулей до актуального на момент проведения сравнения состояния. Где это нужно, в настойках антивирусных продуктов активировалась функция эмулятора.
Далее каждым антивирусом по отдельности производилось сканирование по требованию папки со специально подготовленными тестовыми образцами (описание смотри ниже). Результаты сканирования и вердикты записывались в сводную таблицу.
5. Описание тестовых образцов
Специально для данного антивирусного сравнения было подготовлено 50 тестовых образцов (мини-программ), моделирующих поведение вредоносных программ. Их краткое описание доступно в таблице ниже.
Таблица 1: Описание используемых тестовых образцов
|
* показательный тестовый образец, эмулятор не должен реагировать на этот пример.
Примечание к таблице с описанием тестовых образцов (samples):
- В тестовых образцах используются только тривиальные методы, доступные каждому начинающему программисту. Никакого AS, разных антиотладочных приемов (например, расширенных команды процессора MMX и т.п.), фокусов из KernelMode и т.п., которые недоступны начинающему вирусописателю.
- Тестовые образцы ничем не сжимаются, не пакуются и не криптуются, не применяются обфускаторы и системы "навесной" антиотладочной защиты. "Машинный код как он есть".
- Правильно работающий эмулятор должен ловить все примеры, кроме sample002 и sample101f. Реакция на sample002 и sample101f говорит о том, что детект идет не эмуляцией кода, а анализом констант или сигнатурами характерных блоков кода.
Подробное описание антиэмуляционных приемов, применяемых при создании тестовых образцов, будет недоступно, поскольку может быть использовано вирусописателями в незаконных целях.
Все используемые образцы с полным описанием могут быть переданы вендорам администрацией Anti-Malware.ru по их запросу.
Выражаем особую благодарность эксперту по информационной безопасности Олегу Зайцеву за разработку образцов для сравнительного тестирования и предоставление полного описания антиэмуляционных технологий, применяемых в данных образцах.
6. Подробные результаты
Подробные результаты сравнительного теста антивирусных эмуляторов вы можете посмотреть в полном отчете в формате Microsoft Excel.
Авторы:
Василий Бердников (vaber)
Сергей Ильин
13.06.2007
