Антивирус в нулевом цикле ОС

[Сергей Ильин 1538]

Часто приходится слышать о том, что якобы один антивирус работает "полностью" на уровне R0 (нулевой цикл) операционки, а другие нет.

Вот, например, недавнее высказывание по этому поводу представителя Доктора Веба (как часто бывает стеб над КАВом):

"в KAV нет R0 антивируса. у него все на уровне пользователя, что есть большая потенциальная дыра, которую пытаются заткнуть тем что хакерскими методами не дают остановить R3 приложение. ну не смогли так не смогли - зато прекрасно показывает видеофильмы и анимирует иконки. каждому свое"

http://sysadmin.mail.ru/pforum/viewtopic.php?t=4687

Насколько я напримаю, драйвер любого АВ работает на уровне R0, тогда о чем же идет речь, в чем разница?

[TiX 0]

Если полностью АВ в Р0 - как Нод или дрвеб - то сканирует файлы драйвер. в случае ошибки падает вся ОС.

Большенство АВ ставять только драйвера перехватчики а сам сканирующий движок находится в Р3.

Первые начинают проверку почти сразу после запуска ядра, вторые - уже когда почти все загрузилось - стартуют как сервисы

[Сергей Ильин 1538]

Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

[Кирилл Керценбаум 671]

Кстати, как я понял недавно Symantec объявил об обновлении движка:

Речь я так понимаю идет о том, что появилось в 5 версии, все это написано красиво, но по-моему так пишут все, а вот как это работает с технической точки зрения неизвестно.

[nobody@nowhere 0]

Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

они пошли дальше и вручную разбирают ntfs на диске?

Добавлено спустя 3 минуты 5 секунд:

Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

можно было спросить его лично вчера на mail.ru

[Inkogn 0]

У меня нет нужных знаний.Говорю из того,что дошло из журналов,интернета,а так же здесь прочитал.

Р3 - это уязвимо сразу при первом же недетект. вирусе.Нужна защита.Всё равно ещё драйвер(?).Падает при ошибке так же всё.Возможно,Др.Веб этот путь сократил.Какая технология,с учётом сопутствующих,лучше,могли бы знать только(?) если одна и та же команда одинаково (не)предвзято оба варианта с одинаковым желанием тестирует для выборки одного для себя.В конечном итоге решают больше факторов,чем этот отдельно взятый и это ещё не последняя точка.Да и зачем?

[TiX 0]

Я так понял, что Данилов считает, что движек в Р3 - это узвимый момент и мол все кто так делает - технологические аутсайдеры.

Кстати, как я понял недавно Symantec объявил об обновлении движка:

"The engine works before the operating system loads - in kernel mode - and protects users against malicious code that attempts to hide from current scanning methods. By operating in the kernel mode, the engine can open locked files, bypass programs running in the computer's user mode, and initiate repairs during the system boot cycle. "

http://www.anti-malware.ru/phpbb/viewtopic.php?t=367

На сколько я помню он всегда там работал Ж)

[Сергей Ильин 1538]

можно было спросить его лично вчера на mail.ru

Так собственно я там это и прочитал :-)

[Михаил Кондрашин 55]

Р3 - это уязвимо сразу при первом же недетект. вирусе.Нужна защита.Всё равно ещё драйвер(?).

P3 означает, что автору вируса проще деактивировать резидентный монитор и не более того. Если весь антивирус запихнуть в P0, это не значит, что злобный вирус с ним не справится. Есть много способов испортить жизнь антивирусу. Из простейших: Заблокировать работу обновлений. То есть, если антивирус пропустил такую бяку, то бяка так и останется в системе, так как анитвирус не сможет обновиться.

[Inkogn 0]

Какой АВ держит планку выше по собственной защищённости для пользователя типа меня,который только с ограниченного аккоунта выходит,КАВ.5(Р3) с мотором в Р3 и ли КАВ.5(Р0) с мотором в Р0?Берём,что та же защита,что сегодня там для Р3,действует так же на Р0 в новом примере ну и так же подзаточена.

[Dmitry Perets 30]

Какой АВ держит планку выше по собственной защищённости для пользователя типа меня,который только с ограниченного аккоунта выходит,КАВ.5(Р3) с мотором в Р3 и ли КАВ.5(Р0) с мотором в Р0?Берём,что та же защита,что сегодня там для Р3,действует так же на Р0 в новом примере ну и так же подзаточена.

По собственной защищённости выше планку держит КАВ 6.0 с его самозащитой. При этом никто весь антивирус в нулевое кольцо не пихал, видать, это не единственный способ =) Когда Данилов говорит о работе др.Веба в нулевом кольце, он подчёркивает не самозащищённость, а более ранний запуск защиты. Его защита запускается вместе с драйверами, а не вместе с сервисами. Интересно было бы услышать, насколько этот плюс значим.

[Inkogn 0]

Я не знаю,как там с КАВ6 выглядит.Исхожу,что в Р3 (иначе под заголовок только 5-ка для разговора подходит).То есть,беру я мотор КАВ6 и перемещаю в Р0 из Р3 (и на туда защиту перерасчитываю со всем,что не совсем лишнее оказывается) и всё остальное - под аккоунт Админа,а не Хотькто,то не выходит ли,что вирусу,если он до Р0 хочет,сначала надо дыру найти в Виндовсе (я/он - в огранич. аккоунте),что может быть уже невозможно?Разве это не дополнительная стена по сравнению с Р3 само по себе в смысле самозащиты?И если дыры нет,то и стена для вира из огран.аккоунта непробиваема.Остаются только недочёты в программировании,но это я не рассматриваю,так как и для Р3 этот фактор одинаково действует.Разница такая,что уже Админпроцесс я сбить не могу,а также ни в какую другую папку нет доступа,которую из Хотького к Админу перенесли.

[Сергей Ильин 1538]

Интересно было бы услышать, насколько этот плюс значим.

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

[Dmitry Perets 30]

Интересно было бы услышать, насколько этот плюс значим.

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

В теории плюс в том, что зловред не сможет запуститься раньше антивируса. Ведь если зловред запустился раньше, он может не дать антивирусу стартануть. На мой взгляд, это не такое уж значимое преимущество, потому что зловреду нужно сперва проникнуть в систему. Если антивирус его не знает, то он не заблокирует его ни во время проникновения, ни во время загрузки системы - так что тут нас не спасёт драйвер. А если знает, то зловред будет убит ещё в момент проникновения. То есть остаётся только вариант проникновения в период отключения защиты... Кто-то ещё хочет высказаться? =)

Добавлено спустя 5 минут 27 секунд:

То есть,беру я мотор КАВ6 и перемещаю в Р0 из Р3 (и на туда защиту перерасчитываю со всем,что не совсем лишнее оказывается) и всё остальное - под аккоунт Админа,а не Хотькто,то не выходит ли,что вирусу,если он до Р0 хочет,сначала надо дыру найти в Виндовсе (я/он - в огранич. аккоунте),что может быть уже невозможно?Разве это не дополнительная стена по сравнению с Р3 само по себе в смысле самозащиты?

В любом случае, если вирус хочет проникнуть в ринг0, ему нужно очень постараться. И если у него получится, то антивирус в принципе будет бессилен, так как в ринг0 он, насколько я знаю, проверок никаких не делает, иначе система будет тормозить по-дикому. Но лёгкость проникновения в ринг0 имхо никак не зависит от того, сидит ли весь антивирус в драйвере или нет.

А самозащита антивируса тоже не увеличится от переноса его целиком в драйвер. Достаточно того, что сама самозащита через драйвер работает.

[Inkogn 0]

Имеешь ввиду,если недетект. вирус уже в огран. аккоунте со мной и имеет дальнешую цель,то он адмни/системпроцесс также может легко защекотать до упада,как и текущий можновсем процесс?

[Dmitry Perets 30]

Имеешь ввиду,если недетект. вирус уже в огран. аккоунте со мной и имеет дальнешую цель,то он адмни/системпроцесс также может легко защекотать до упада,как и текущий можновсем процесс?

А, нет, если ты в ограниченном аккаунте сидишь, то вирус в любом случае не сможет сделать больше, чем можно ограниченному аккаунту. Но это к делу не относится. Я говорю, что если вирус не детектируется, то неважно запустится ли он раньше антивируса или позже - его антивирус всё равно не оставновит, ибо не знает.

[Сергей Ильин 1538]

то неважно запустится ли он раньше антивируса или позже - его антивирус всё равно не оставновит, ибо не знает.

Согласен, в этом случае разницы нет.

А что если такая ситуация: вирус внедрился в систему, когда еще не был известен, но выносить АВ не стал (или не смог), тогда при обновлении АВ захочет его удалить, но если вирус будет находиться в Р0 сможет ли он это сделать?

[Dmitry Perets 30]

А что если такая ситуация: вирус внедрился в систему, когда еще не был известен, но выносить АВ не стал (или не смог), тогда при обновлении АВ захочет его удалить, но если вирус будет находиться в Р0 сможет ли он это сделать?

Здесь, видимо, всё зависит от вируса. Если вирус захочет себя защитить, у него это скорее всего выйдет. Он по-идее может вообще снять перехватчики антивируса и поставить туда свои, если пожелает... Может залочить свои файлы запросто и никто их не удалит, потому что вирус будет стартовать вместе с драйвером - и даже если антивирус тоже стартует вместе с драйвером, где гарантия, что его драйвер стартанёт раньше... Короче говоря, проникновение на ринг0 - это беда для антивируса, независимо от того, где он сидит. Имхо. И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка). А если уже проник, то на то есть аварийный диск.

[Inkogn 0]

И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка).

И для этого так же с непробиваемого (если дыр больше не осталось) ограниченного аккоунта выплывать (ну нигде об этом не говорят).

[TiX 0]

Интересно было бы услышать' date=' насколько этот плюс значим.[/quote']

Вот меня как раз тот же поврос волнует. Чем более ранний запуск движка лучше?

В теории плюс в том, что зловред не сможет запуститься раньше антивируса.quote]

Теперь надо вспомнить что спайдер работает в "оптимальном режиме - не проверяет файлы при открытии и запуску" следовательно преимущество нулевое.

[Inkogn 0]

Имеешь ввиду,что у него нет защиты в реалтайме,только вручную скан,или как?

[TiX 0]

нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

[Dmitry Perets 30]

нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

Что, серъёзно?! Хм... Это ж дыра! Юзер не защищён даже от элементарного случая, когда вирус проникает на комп чуть раньше обновления баз...=(

Добавлено спустя 3 минуты 22 секунды:

И поэтому если вирус ещё не проник на ринг0, то нужно не дать ему туда проникнуть (на то есть проактивка).

И для этого так же с непробиваемого (если дыр больше не осталось) ограниченного аккоунта выплывать (ну нигде об этом не говорят).

Кстати, Микрософт говорит. Читал где-то на сайте у них рекомендацию сидеть под аккаунтом юзера. Только вот работать так, мягко говоря, неудобно...

[Inkogn 0]

нет имею ввиду что и спайдера по дефолту стоит режим проверки файлов только при записи, а не при открытии

Да,это так и есть.Я что-то не подумал сразу про дефолт.Я то себе (знакомым тоже,это остаются только те,кто сам инсталлирует и совсем не разбирается и некого позвать,домохозяики с мужьями к ним обычно не относятся,другие зовут меня) всё равно всегда переставляю везде и в конечном итоге имею,что я поставил.Таким образом,спайдер в конечном итоге и при открытии проверяет.Это для меня аргумент,что прога может делать и делает мне,а не дефолт.

Кстати, Микрософт говорит. Читал где-то на сайте у них рекомендацию сидеть под аккаунтом юзера. Только вот работать так, мягко говоря, неудобно...

Под ограниченным аккоунтом писать можно,копировать на принтере тоже,фотки переделывать,видики так же,музыку слушать,всё это сгружать или конвертировать,на CD всё это записывать в инете лазить и многое другое,где не нужно проги инсталлировать,а только уже инсталлированными пользоваться и их работой загружать.Это специально для того,что бы не дать новому,недетектируемуму вирусу прав на инсталлирование в систему (Р0 - любимое место руткитов и любых сильных вирусов,работать с ними пользователю будет бесполезно),а также это не даёт прав новому,ещё недетектируемуму вирусу что-нибудь в системе стереть или сбить либо коррумпировать защитную прогу (смотря,где эта прога).Что TiX выходит в инет под Админом,чтобы систему специально ослабить и стенку убрать перед вирусами для проверки АВ,это он уже писал,если я с другим не путаю.Но это же один случай действительной необходиости из тысячи.У остальных (ну,типа меня) обратная цель.По мне я и меряю.Всем знакомым советую под огран.аккоунтом работать,никому не помешало ничем.Это больше дело привычки.Для инсталирования проги или апдейтования Виндовса перехожу на безвирусного Админа.Больше он мне не нужен.

[Inkogn 0]

Факт на сегодня,что КАВ больше вирусов детектирует.Я,с учётом весомых достоинств и опасных недостатков каждого,не назвал бы ни одного лучшим по сумме результатов.Кто не очень разбирается,может выбирать по цвету - не ошибётся ни с одним,а кто побольше немного поймёт,тому придётся выбирать,с каким слабым пунктом он согласен жить.

Вообще,это,по моему,чисто новая русская психология (сам удивляюсь).За границей радуются открытием новых предприятий,даже если такие уже есть,потому что это означает,что больше таких,как я,сами зарабатывают на жизнь,а не сидят на иждивении (налоге) у всех,а также работающий (заработок - везде больная тема,как и при коммунизме было),скорее всего,не будет думать о продаже наркотиков,сутенёрстве и прочем вредительсве (вирусы выдумывать) и заработке на несчастьях других.Только в России,похоже,наоборот и чем больше возможностей чистые деньги заработать и не вредя продержаться передавлено,тем больше и радость победы.Возможно,что перебарщиваю.