Перейти к содержанию
spw

Реальный тест на эвристику "антивирусов"

Recommended Posts

spw

(копия записи в моем lj, не редактировал)

Вижу, что все время какие-то тесты проводят на "эвристику", пишут про различные NOD'ы, Avira'ы и прочие "поделки", что они такие замечательные, все так отлично ловят. Ну отлично.

Меня это уже не в первый раз выводит из себя, когда все эти г-антивирусы с их г-детекторами (здесь приставка "г" не означает generic - хотя это основной вердикт у всего этого сборища торговцев "БАДами") начинают детектировать абсолютно нормальные программы.

Собираешь какую-нибудь утилиту или новый продукт, заливаешь на virustotal - найдется сразу же 1-3 г-антивируса, которые детектируют только что собранную программу. Проходит дня 2-3 (это время нужно, чтобы остальные г-антивирусы от virustotal получили "тело" на препарирование и добавили детект, если не детектируется, посмотрев на окружающих - сами-то не знают)... и что же мы видим? Ага, уже не 2-3, а целых 10-15.

Итак, смотрим. Продукт в данном случае - HL-DUMP, использует стандартное API от одного средства защиты компании Aladdin. Утилита распространена очень широко, распространена с 2003 года (то есть шесть лет). Файл запакован AsPack (он очень опасен!), UPX (а он так вообще ужасен!). Все, это ключевой момент. Размер - ~34kb. Нет VERSION_INFO. Идеальный trojan dropper для г-эвристических г-антивирусов.

Утилита поставляется в исходниках (там же собранный упакованный вариант).

Результаты VirusTotal:

http://www.virustotal.com/ru/analisis/7f43...17fb-1249216377

(ниже приведена копия таблицы; срез на текущий момент, 02.08.2009 - вдруг оно изменится)

22 из 41 (~54%!) представленных продуктов просто автоматически занесли себя в список "поделок". Теперь внимательно просмотрите этот список и найдите там свой антивирус, которым защищен Ваш компьютер. А потом прочтите на два абзаца ниже.

Это НЕ "случайное" ложное срабатывание, это ПРИНЦИПИАЛЬНЫЙ ПОДХОД К ДЕТЕКТИРОВАНИЮ.

Работа г-эвристиков по принципу "валим все" - самый лучший способ получить 100% детект. Только он будет даже не 100%-ым, а 1000% (ибо замесили "слегка" лишнего).

Самое обидное в этой ситуации, что если всему этому сборищу скормить нормальное тело свеже-сделанного дропера - ни один не пискнет... Заверещат они все постфактум, когда это будет уже совершенно не актуально для реальных пользователей (а не тех, кто проводит тестирование на срезке уже "мертвых" тел). Потому что будет уже совершенно новое, другое АВТОМАТИЧЕСКИ СГЕНЕРИРОВАННОЕ тело. Ну и кому нужны такие продукты? Реальных угроз не детектируют, а нормальным программам "заодно" по шее дают.

Кстати, большинство из компаний, выпускающих этот откровенный сброд еще и на письма не реагирует. Либо если реагирует, не убирают детектирование, по причине "у нас так сделано детектирование, оно не будет реагировать только при налиции ЭЦП" (подписи). А может мне еще сертификат качества у них купить надо?

Когда же, наконец, на рынке закончится засилье этих торговцев "БАДами", и пользователи ОТРЕГУЛИРУЮТ рынок по качеству, выкинув (банально, не поддерживая) весь этот сброд и мусор.

Те, кто оказался в этом списке -- вам стыдно должно быть за качество ваших "изделий". Для вас у меня есть лишь одно пожелание: чтобы вы захлебнулись в потоке различной (хорошей) автоматически генерируемой малвари, на которой все ваши г-детекторы запутаются и просто не смогут отличать уже более распространенные нормальные продукты от новых тел.

Уважаемые торговцы БАДами, расскажите вот теперь рецепт, как одному пользователю, запустить данную утилиту. Нет, даже не запустить. СКАЧАТЬ! (Потому что она "блокируется" на момент скачивания). У него в компании установлен NOD, нет административных прав и, соответственно, нельзя даже занести в список игнорирования (при этом не запрещено скачивание и запуск нужных в работе приложений из интернета). Ответ могу подсказать: попросить админа снести NOD.

Раньше было "не умеешь делать - иди учить", теперь предлагаю это слегка заменить: "ничего не знаешь и не умеешь - иди делать антивирус" (желательно - облачный, это модно!). (В этом плане особенно порадовол Гомодо с его "unclassified malware").

Для тех кто хочет поучаствовать в программе "смерть БАД-антивирусам" -- делайте дроперы размером ~500kb (+/- 100kb, случайные), не пакуйте их (есть другие способы сделать так, чтобы код не детектировали, не обфусцируйте по-тупому, обязательно делайте VERSION_INFO, причем лучше - рандомный и от реальных программ -- желательно от антивирусов даже, смешнее будет; покупайте на левые LTD сертификаты у того же гомодо и подписывайте вашу малварь - это в целом копейки - пусть NOD получит то, что он так жаждет). Пусть "побалансируют" слегка свои г-эвристики.

Всяческая перепечатка и копирование приветствуются. С БАД-антивирусами можно бороться только публично и только силами пользователей.

Файл hl-dump.exe получен 2009.08.02 12:32:57 (UTC)

Антивирус | Версия | Обновление | Результат

a-squared | 4.5.0.24 | 2009.08.02 | Trojan-Dropper!IK

AhnLab-V3 | 5.0.0.2 | 2009.08.01 | Win-Trojan/Xema.variant

AntiVir | 7.9.0.238 | 2009.07.31 | -

Antiy-AVL | 2.0.3.7 | 2009.07.31 | -

Authentium | 5.1.2.4 | 2009.08.01 | W32/Threat-HLLAU-based!Maximus

Avast | 4.8.1335.0 | 2009.08.01 | Win32:Trojan-gen {Other}

AVG | 8.5.0.406 | 2009.08.02 | Suspicion: unknown virus

BitDefender | 7.2 | 2009.08.02 | Trojan.Generic.427724

CAT-QuickHeal | 10.00 | 2009.07.30 | -

ClamAV | 0.94.1 | 2009.08.02 | -

Comodo | 1838 | 2009.08.02 | UnclassifiedMalware

DrWeb | 5.0.0.12182 | 2009.08.02 | -

eSafe | 7.0.17.0 | 2009.07.30 | Suspicious File

eTrust-Vet | 31.6.6650 | 2009.08.01 | -

F-Prot | 4.4.4.56 | 2009.08.02 | W32/Threat-HLLAU-based!Maximus

F-Secure | 8.0.14470.0 | 2009.08.01 | -

Fortinet | 3.120.0.0 | 2009.08.02 | -

GData | 19 | 2009.08.02 | Trojan.Generic.427724

Ikarus | T3.1.1.64.0 | 2009.08.02 | Trojan-Dropper

Jiangmin | 11.0.800 | 2009.08.02 | -

K7AntiVirus | 7.10.808 | 2009.08.01 | Trojan-Dropper.Win32.Small

Kaspersky | 7.0.0.125 | 2009.08.02 | -

McAfee | 5695 | 2009.08.01 | Generic.dx

McAfee+Artemis | 5695 | 2009.08.01 | Generic.dx

McAfee-GW-Edition | 6.8.5 | 2009.08.02 | -

Microsoft | 1.4903 | 2009.08.02 | -

NOD32 | 4298 | 2009.08.02 | probably a variant of Win32/Agent

Norman | 6.01.09 | 2009.07.31 | W32/Smalldrp.TGC

nProtect | 2009.1.8.0 | 2009.08.02 | -

Panda | 10.0.0.14 | 2009.08.02 | Generic Trojan

PCTools | 4.4.2.0 | 2009.08.02 | -

Prevx | 3.0 | 2009.08.02 | Medium Risk Malware

Rising | 21.40.62.00 | 2009.08.02 | -

Sophos | 4.44.0 | 2009.08.02 | Sus/UnkPacker

Sunbelt | 3.2.1858.2 | 2009.08.02 | Bulk Trojan

Symantec | 1.4.4.12 | 2009.08.02 | Trojan Horse

TheHacker | 6.3.4.3.375 | 2009.08.01 | -

TrendMicro | 8.950.0.1094 | 2009.07.31 | PAK_Generic.001

VBA32 | 3.12.10.9 | 2009.08.02 | -

ViRobot | 2009.7.31.1863 | 2009.07.31 | -

VirusBuster | 4.6.5.0 | 2009.07.31 | -

Дополнительная информация

File size: 33792 bytes

MD5...: 412aaada3524d8226f3fdd943fb087f3

SHA1..: 64d1f2e118640b1368064198655c6cb11eb5d1ec

SHA256: 7f437e19bf37f80a59a7c094f370aeb0fe1f5d0118f3b973767c279906d017fb

ssdeep: 768:FfrMBXAiDAFYtdiYdjS8jfv1s7zyBZrtIVx8HaDS0+s5Hrc4EtRp:FfrOtaY

aQ26fd8mBZrtGxEXgO4

PEiD..: UPX 2.90 [LZMA] -> Markus Oberhumer, Laszlo Molnar & John Reiser

TrID..: File type identification

UPX compressed Win32 Executable (39.5%)

Win32 EXE Yoda's Crypter (34.3%)

Win32 Executable Generic (11.0%)

Win32 Dynamic Link Library (generic) (9.8%)

Generic Win/DOS Executable (2.5%)

PEInfo: PE Structure information

( base data )

entrypointaddress.: 0x16c90

timedatestamp.....: 0x44757096 (Thu May 25 08:53:42 2006)

machinetype.......: 0x14c (I386)

( 3 sections )

name viradd virsiz rawdsiz ntrpy md5

UPX0 0x1000 0xe000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e

UPX1 0xf000 0x8000 0x7e00 7.75 12677231f3c495ba4968f460910b29fc

UPX2 0x17000 0x1000 0x200 1.38 ea5c908edeacae39dc1616f200aa4a7e

( 2 imports )

> KERNEL32.DLL: LoadLibraryA, GetProcAddress, ExitProcess

> hlvdd.dll: -

( 0 exports )

PDFiD.: -

RDS...: NSRL Reference Data Set

-

packers (Kaspersky): UPX, ASPack

Prevx info: http://info.prevx.com/aboutprogramtext.asp...05F11006D1A0F5E

packers (F-Prot): UPX, Aspack

packers (Authentium): UPX, Aspack

P.S. К чести Avira, в данном случае не детектирует. Но, вполне допускаю, что просто "тела" не было у них раньше. Потому что Avira уж славится все подряд детектировать как XCRYPT (собственно, запаковано).

Отредактировал Sp0Raw
  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka

Оригинал:

Private Sub Form_Load()

MsgBox "Hello"

End

End Sub

Дважды пакован (ASP и PECompact)

Hello.rar

http://www.virustotal.com/ru/analisis/f305...120e-1249222652

Нет, может это конечно и сознательная политика Авиры, но детектить "привет, мир" - это все же IMHO перебор :)

Hello.rar

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka
Детект имеет вид: HEUR/Crypted

Вы выдите в название детекта слово троян, дропер и т.д. ..?

нет конечно, я же неопытный...

Я всего лишь вижу, что у меня программа не запускается, вместо прогаммы какаое-то красное окошко выскивает, и мне прорамму удалить предлагают

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
spw
Sp0Raw

Avira вы зря сюда приплели - детект упакованных файлов это не бага, а сознатальная политика компании, к тому же посмотрите сюда:

Именно об этом я выше и писал. Это и есть, "когда ничего не можешь сделать - детектируй все".

По поводу фолсов - это уже зажёванная до дыр тема - вы хоть раз ставили Avira?

Выше писал, это не false positive в прямом смысле этого слова. Это именно логика работы "эвристических" анализаторов. Это "фундаментальный подход".

Тем более по приведённым вами результатам с VT детекта Avira нет - хотя вы говорите именно о ней...

Видно, что сообщение полностью Вы не прочитали (судя по этим двум заявлениям). P.S. там есть.

В данном списке на мой взгляд случайно оказался Symantec, и случайно НЕ оказалась Avira.

У меня почемуто не на каких программах фолсов нет (кряки сюда не приплетать - это тоже сознательная политика компании)...

Может Вы просто не знаете о них, потому что думаете, что "что-то тут не так"? :-)) Обычное восприятие пользователей. Если антивирус кричит - значит вирус. (Пример: NOD орет на Themida/WL -- Win32.Packed -- очень страшный вирус!; Avira почти на все орет XCRYPT -- не менее страшный зверь)

Кстати каким антивирусом вы пользуетесь - обсудим его..?

Я не использую антивирус, моя система защищена OSSS и др. custom-средствами. Не вижу смысла в обсуждении какого-либо из антивирусов в таком ключе (нет никакого смысла переходить на личности или рассказывать истории вида "а вот у меня" -- я говорю о ситуации в целом, для обычных пользователей, с обычными настройками - "как у всех").

Ситуация очень простая: есть те, кто не могут и не знают (= детектируют все подряд) и те, кто могут и знают (= детектируют более-менее, но главное - не кидаются на все и вся).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

Че это Вы так наехали на эвристики Авиры? Покажите мне тогда, как работает эвристик Каспера? Мне лучше раз перестраховаться и отослать файл в вирлаб Авиры, чем писать на форуме Каспера о помощи

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин
Детект имеет вид: HEUR/Crypted

Вы выдите в название детекта слово троян, дропер и т.д. ..?

Но тем не менее с настройками по умолчанию авира заблокирует данный файл. Вы правы, детект по пакерам можно отключить, но тогда и тесты на уровень детекта нужно проводить с такими настройками.

Че это Вы так наехали на эвристики Авиры? Покажите мне тогда, как работает эвристик Каспера? Мне лучше раз перестраховаться и отослать файл в вирлаб Авиры, чем писать на форуме Каспера о помощи

Наш эвристик не детектит файлы только по причине их упаковки. Да, есть вердикт MultiPacked.Generic, но он для тех случаев, когда количество упаковок одного файла превышает разумные пределы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka
Че это Вы так наехали на эвристики Авиры? Покажите мне тогда, как работает эвристик Каспера? Мне лучше раз перестраховаться и отослать файл в вирлаб Авиры, чем писать на форуме Каспера о помощи

Ingener же дал ссылку - эта та, которая вверху

внизу не открывается, там запрещены прямые линки

А вообще тема не про детект Авиры, а про детект всех вендоров, которые детектят все что движется.

P.s.

Интересно, положить маску MZ на первые 2 байта - тогда вероятно уровень детекта на Win32 зверей будет 100%.

Почему так не делают? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

Ну, дал. Глянул - Авира вторая, без хипсов. Молодец, эвристик на лучшем уровне. Тока мы не о хипсах, а эвристиках. У Касперского нет такого эвристика как у Авиры

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka
Ну, дал. Глянул - Авира вторая, без хипсов. Молодец, эвристик на лучшем уровне. Тока мы не о хипсах, а эвристиках. У Касперского нет такого эвристика как у Авиры

Вы правы.

Касперский моего "привет мира" не блокирует, на карантин положить не просит, и удалить - тем более :)

У нас действительно нет такого эвристика, как у 13 вендоров на ВирусТотале :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин
Ну, дал. Глянул - Авира вторая, без хипсов. Молодец, эвристик на лучшем уровне. Тока мы не о хипсах, а эвристиках. У Касперского нет такого эвристика как у Авиры

Такого фолсящего эвристика конечно не будет. Для нас не проблема сделать те же детекты Heur:Crypted, и.т.п. - но это уже приемы из области грязных читов, для нас не допустимые.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka
Не перевирайте факты - не путайте совместную работу эвристика и hips Касперского (недостаток детекта Касперский компенсирует HIPS) - с работой только эвристика у Avira...

Я и не путаю - ХИПС неслабо зависит от эвристика, который к слову отключен в профиле ФА на КИС8, где тесты и проводились.

Отключите эвристику в файловом мониторе и проверке трафика Авиры - и сравните результаты

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

Нет желания спорить с Вами. Вас не переспоришь. А не оно и не надо. КИС лучший - все успокойтесь Вы ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka
Хватит выстраивать мнение о работе эвристика по реакции на самописанные пакованные файлы - на "солидные" программы у вас хоть раз фолс был..? У меня за всё время лично не разу - хотя я любитель тестировать софт...

"Содидность софта" - это оборот конторы - проиводителя, количество офисов по миру, или размер живота ее директора?

Как мне измерить "солидность" софта, чтобы узнать - проверять на нем или нет?

У меня есть только один критерий безвредности софта:

От безвредного софта нет вреда. Все остальное - разговоры бабушек на лавочке.

Если исходить из этого, то моя, совершенно ничем не пакованная тулза, писанная на VB6 (так же как и приложенный в этой теме "привет мир") нужная некоторым пользователям, которым удобно запускать обновление у Касперского именно в таком-то режиме детектилась Авирой.

Причина?

А шут ее знает. Вероятно детктится, потому как по каталогам антивируса шустрит. Вот и вся причина.

Нет желания спорить с Вами. Вас не переспоришь. А не оно и не надо. КИС лучший - все успокойтесь Вы ;)

А я и не спорю.

Я лишь расказываю, что эта тема не посвещена Авире.

Ее посвятили сразу несколькми десяткам вендоров, т.е. фактически половине ВирусТотала, которые детектят все, что шевелиться. Что не шевелится впрочем тоже детектят, но уже другим вердиктом.

Однако, благодаря стараниям Ingener тема вырождается, и становится очередным холиваром, что очевидно никому не нужно, и противоречит задумке топикстартера- разобраться, а "надо ли детектить так, как детектится".

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

А разве Umnik ее не отправлял в Авиру? Разве он уже не создавал тему о какой-то там утилите, которая ищет Касперского на компе, и потом запускает обновления?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka

Да ради Бога :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

А давайте просто или помолчим, или пообщаемся о приятном? А то вижу ниче у нас не выйдет путнего с этой темы. Хочу лишь сказать, что лидеры по ложнякам (для меня) - это:

eSafe

Panda

Prevx

Sophos

CAT-QuickHeal

Ikarus

a-squared (который юзает базы Икаруса)

Эти антивирусы я бы не поставил даже, если бы у меня больше не было ни одного антивируса. Они быстрей угробят Винду, чем сами вирусы

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka
Давайте создадим тему о "тормозных" антивирусах и как бы невзначай упоминём там название Касперского и будем обсуждать эту темы...

Это всего лишь ваше мнение... Или вы можете дать ссылку на проводимые по данному вопросу исследования..?

Совершенно любая программа, пакованная как и мой "привет, мир", детектиться многоми вендорами, при услови что файл не битый

Битые файлы не рассматривал, но специально для Вас могу перепаковать "привет, мира" в другом порядке/другими пакерами.

Получим детект многими вендорами на битый файл - что и требовалось доказать.

Пойтимите правильно - детект по многократной упаковке у нас тоже есть. Но у нас это нечто, из ряда вон, тогда как у многих - куча начинается с двух, а я тут готов поспорить - два ореха - это не куча :)

А разве Umnik ее не отправлял в Авиру? Разве он уже не создавал тему о какой-то там утилите, которая ищет Касперского на компе, и потом запускает обновления?

Умник не отправлял.

Отправлял кто-то из посетителей этого форума, и я.

Я из самого антивируса (ответа жду до сих пор), тот пользователь из соответсвующей формы на сайте Авиры (раздетектили, или вернее сказать - завайтлистили хеш за сутки-двое).

Только от этого ничего не изменеяется - у меня нет сотни сотрудников, я сам не директор, и без брюха, но на мою утилиту (ничем не пакованную) Авира фалсит.

Подчеркну - фалсит, а не "фалсила", потому как изменение 1 байта в файле влечет изменение хеша, и пропадание проги из вайт-листа.

А давайте просто или помолчим, или пообщаемся о приятном? А то вижу ниче у нас не выйдет путнего с этой темы. Хочу лишь сказать, что лидеры по ложнякам (для меня) - это:

eSafe

Panda

Prevx

Sophos

CAT-QuickHeal

Ikarus

a-squared (который юзает базы Икаруса)

Эти антивирусы я бы не поставил даже, если бы у меня больше не было ни одного антивируса. Они быстрей угробят Винду, чем сами вирусы

Ну вот, уже больше конструктива, и уже меньше выяснения личных отношений. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
senyak

Я вот скока смотрю на ВТ и вижу эти продукты в лидерах по ложным срабатываниям. Они намного опередили Авиру. При чем они орут на все. И по моему нет смысла отсылать в вирлаб Икаруса файлы и просить удалить детект - можно сутками высылать

Вот залил я Квип 8094 на ВТ.

http://www.virustotal.com/ru/analisis/4eb0...491a-1249228364

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
spw
Хватит выстраивать мнение о работе эвристика по реакции на самописанные пакованные файлы - на "солидные" программы у вас хоть раз фолс был..? У меня за всё время лично не разу - хотя я любитель тестировать софт...

Мне процитировать письма в Avira (не одно) с просьбой исключить детектирование продуктов одной компании? (Не буду упоминать ее здесь, чтобы не сочли за рекламу). Детектировали сразу же после выхода. Т.е. программа вышла (вообще новая!) -- ее сразу же детектируют. И все из-за чего? Из-за обычных средств защиты.

А хотя - пожалуйста. Вот сообщение, вот топик в целом. Вот еще одно. Вердикт Avira: "TR/Crypt.XPACK.Gen". Ну и там же еще кучка таких же г-антивирусов, в этом сообщении.

Полностью поддерживаю Maratka в данном вопросе:

"Содидность софта" - это оборот конторы - проиводителя, количество офисов по миру, или размер живота ее директора?

Как мне измерить "солидность" софта, чтобы узнать - проверять на нем или нет?

На каком основании NOD, например, шантажирует - либо вы делаете цифровую подпись, либо мы вас детектируем? (Т.е. да, он такие письма сам никому не рассылает, но вот убрать детект невозможно). Кто им дал такое право? Принципиально не убирают детект. Даже по хэшам (т.е. занести в определенного рода ignore list)! Кто дал право различным недо-компаниям диктовать условия людям, производителям софта да и просто программистам? Не много ли о себе мнят?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин

И еще в продолжение темы - вот такой результат у нашей утилиты KidoKiller до наложения цифровой подписи.

http://www.virustotal.com/ru/analisis/f1f0...26e0-1249230313

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
spw
И еще в продолжение темы - вот такой результат у нашей утилиты KidoKiller до наложения цифровой подписи.

http://www.virustotal.com/ru/analisis/f1f0...26e0-1249230313

Во-во-во.

Я про это вот тут написал как раз.

Почему вы так усердно не хотите коментировать вот это:

Потому что я про "это" написал еще в самом исходном сообщении. Могу процитировать сам себя же:

Самое обидное в этой ситуации, что если всему этому сборищу скормить нормальное тело свеже-сделанного дропера - ни один не пискнет... Заверещат они все постфактум, когда это будет уже совершенно не актуально для реальных пользователей (а не тех, кто проводит тестирование на срезке уже "мертвых" тел). Потому что будет уже совершенно новое, другое АВТОМАТИЧЕСКИ СГЕНЕРИРОВАННОЕ тело. Ну и кому нужны такие продукты? Реальных угроз не детектируют, а нормальным программам "заодно" по шее дают.

И уж поверьте, я знаю о чем я пишу. (Именно поэтому я и не пишу, что другие - идеалы и детектируют все отлично).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Maratka
На каком основании NOD, например, шантажирует - либо вы делаете цифровую подпись, либо мы вас детектируем? (Т.е. да, он такие письма сам никому не рассылает, но вот убрать детект невозможно). Кто им дал такое право? Принципиально не убирают детект. Даже по хэшам (т.е. занести в определенного рода ignore list)! Кто дал право различным недо-компаниям диктовать условия людям, производителям софта да и просто программистам? Не много ли о себе мнят?

IMHO, если это получится доказать в суде - то одним вендором станет меньше.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
veritas
И еще в продолжение темы - вот такой результат у нашей утилиты KidoKiller до наложения цифровой подписи.

http://www.virustotal.com/ru/analisis/f1f0...26e0-1249230313

http://blogs.drweb.com/node/424

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Юрий Паршин

Это автодятел накосячил - пофиксили мы это достаточно быстро. И это было именно ошибкой, а не целенаправленной политикой.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.

  • Сообщения

    • Ego Dekker
    • demkd
      а внутри локалки и не получится, белые ip нужны только при подключении через интернет.
    • santy
      Проверил на двух домашних ПК в локальной сети с роутером. Схема с серым IP работает отлично. Передача файлов гениальна! Вот просто как будто дополнительное зрение появилось :). Через белый IP  пока не удалось подключиться. Пришлось еще фаерволлы включить в интерактивный режим. (На автомате еще не проверял, возможно надо сохранить некоторые правила.)
    • demkd
      ---------------------------------------------------------
       4.99.4
      ---------------------------------------------------------
       o Исправлена функция автоматического переключения удаленных рабочих столов.
         Проблема проявлялась при работе с удаленной системой через локальную сеть, при запуске приложения
         от имени администратора не происходило автоматическое переключение на защищенный рабочий стол.
         (не касается полной версии разового доступа к рабочему столу, в этом режиме проблемы не было).

       o Проведено сравнительное тестирование системного удаленного рабочего стола и uVS.
         Передача файлов через системный удаленный рабочий стол идет почти в 20 раз медленней чем через через uVS.
         Максимальный fps в 32-х битном цвете почти в 3 раза ниже чем у uVS в FHD.
         (!) Выявлена проблема совместного использования uVS и системного рабочего стола.
         (!) Если системный рабочий стол был закрыт БЕЗ выхода из пользователя, то uVS не сможет
         (!) отбразить рабочий стол логона пользователя (Winlogon).
         (!) Единственное решение проблемы: подключиться заново через системный рабочий стол и выйти из пользователя.
       
    • demkd
      ---------------------------------------------------------
       4.99.3
      ---------------------------------------------------------
       o Это обновление повышает качество работы с удаленной системой и добавляет новый режим работы.
         (!) Новая функция не совместима со старыми версиями uVS, если у вас в настройках установлен флаг bReUseRemote = 1,
         (!) то перед обновлением необходимо закрыть все серверные части uVS на удаленных компьютерах с помощью
         (!) старой версии uVS.

       o Добавлен новый режим работы: Разовый доступ к удаленному компьютеру.
         (!) Доступно начиная с Vista, подключение к рабочему столу устаревших систем возможно лишь прежним способом.
         Ранее просмотр и управление рабочим столом удаленного компьютера было вспомогательной функцией при работе с удаленной системой.
         Для подключения требовались полномочия администратора или знание логина и пароля администратора удаленного компьютера и
         физическая возможность подключения к удаленному компьютеру.
         Новый режим работы похож на то, что предлагают всевозможные поделки для удаленного администрирования.
         o В этом режиме доступно: управление и просмотр рабочего стола, а также быстрый и надежный обмен файлами на пределе пропускной
           способности канала. (для сравнения RAdmin в гигабитной сети передает файлы более чем в 15 раз медленней чем uVS).
         o Передаваемые кадры теперь не только сжимаются, но и шифруются,  целостность передаваемых файлов защищена
           проверочным хэшем и шифрованием.
         o Подключение осуществляется без использования промежуточного сервера, т.е. это чистый P2P.
         o Подключение возможно к компьютеру за NAT при включенной у роутера опции uPNP.
         o Подключение возможно к компьютеру, где активирован VPN.
           (!) Подключение производится к реальному адресу роутера или адаптера компьютера с VPN, VPN канал полностью игнорируется.
         o Подключение возможно в обе стороны, т.е. из пары компьютеров требуется лишь 1 белый IP, направление подключения выбирается
           при начальной настройке.

         При запуске start.exe теперь вам доступны три новые кнопки:
         o Управление удаленным компьютером и обмен файлами.
           Эту кнопку нажимает тот кто хочет получить доступ к удаленному компьютеру, в открывшемся окне можно выбрать
           вариант подключения (см. ниже) и ввести код доступа полученный от того кто предоставляет доступ к компьютеру.
           Варианты подключения:
             o Соединение примет мой компьютер - в этом случае необходимо выбрать IP к которому будет подключаться другая
               сторона. При подключении через интернет следует выбирать белый IP адрес, если ваш компьютер за роутером
               и на нем активен NAT, то выбрать нужно именно его IP адрес. (адрес с пометкой [router]).
               Если роутер поддерживает uPNP, то этот адрес будет выбран по умолчанию.
               Если же в списке нет белых IP то вам следует выбрать другую опцию подключения.
               После выбора IP просто нажмите кнопку Старт и передайте одноразовый код доступа другой стороне.
               При подключении по локальной сети вы можете нажать кнопку "Все IP" и выбрать любой серый адрес для подключения.
               Поддерживается и IPv4 и IPv6.
               (!) Код доступа автоматически копируется в буфер обмена при нажатии кнопки "Старт".

             o Соединение установит мой компьютер - просто скопируйте код доступа в поле ввода или код там появится автоматически
               если вы его скопировали из мессенджера. После чего нажмите кнопку Старт и ожидайте подключения.

         o Разовый удаленный доступ к моему компьютеру [админ]
           (!)Пользователь должен обладать правами администратора или правами по запуску и установке служб.
           Эту кнопку нажимает тот кто хочет предоставить доступ к своему компьютеру, в открывшемся окне можно выбрать
           разрешения для другой стороны.
           Доступны 3 варианта:
             o  Управление     - доступно: мышь, клавиатура, просмотр экрана и обмен файлами.
             o  Просмотр       - доступно: просмотр экрана и обмен файлами.
             o  Обмен файлами  - доступно: обмен файлами.
           Это полнофункциональная версия удаленного рабочего стола uVS, с возможностью удаленного подтверждения
           запуска приложений от имени администратора и эмуляции нажатия Ctrl+Alt+Del.

         o Разовый удаленный доступ к моему компьютеру [не админ]
           Все тоже самое что и во 2-м случае, кроме удаленного подтверждения запуска приложений от имени администратора
           и эмуляции нажатия Ctrl+Alt+Del, дополнительно есть ограничение по использованию защищенных рабочих столов.

       o При работе с удаленным рабочим столом теперь доступна передача файлов и каталогов из буфера обмена в обе стороны.
         Что бы передать файлы или целые каталоги на удаленный компьютер, просто скопируйте их в буфер обмена и в окне
         удаленного рабочего стола нажмите кнопку со стрелкой вверх.
         Передача изображения автоматически отключится и откроется окно с логом передачи файлов.
         В заголовке окна лога вы увидите объем переданных данных и среднюю скорость передачи (с учетом чтения их с диска).
         По окончании передачи  файлов в лог будет выведена информации о времени передачи, количестве успешно переданных файлов и
         средней скорости передачи.
         Переданные файлы будут помещены в буфер обмена удаленной системы и вы сможете  вставить их из буфера
         в любой каталог или прямо на рабочий стол. При этом файлы переносятся из временного каталога.
         Если же вы не вставили файлы из буфера обмена то они останутся во временном каталоге C:\uVS_copyfiles\*
         точный путь до которого выводится в лог на удаленном компьютере.
         Что бы получить файлы проделайте обратную операцию: скопируйте файлы в буфер обмена на удаленном компьютере
         и нажмите кнопку со стрелкой вниз, по завершению передачи файлы будут помещены в буфер обмена вашего компьютера
         и вы можете перенести их в любую нужную папку.
         Таким образом обе стороны видят какие файлы и куда копируются и при этом максимально упрощается процесс копирования.
         (!) При закрытии окна лога передача файлов будет остановлена.
         (!) При разрыве соединения передача файлов будет автоматически продолжена после восстановления соединения,
         (!) при этом работает функция докачки, т.е. если ошибка произошла при передаче большого файла, то передача его
         (!) продолжится с последнего успешно полученного блока, т.е. блок будет заново.
         (!) Каждая передача файлов является независимой, т.е. нельзя прервать передачу и воспользоваться функцией докачки.
         (!) Проверка целостности файлов производится на лету вместе с его расшифровкой, таким образом достигается
         (!) максимально возможная скорость передачи примерно равная скорости копирования файлов по локальной сети системой.
         (!) При необходимости передачи большого количества мелких файлов рекомендуется поместить их в архив, это серьезно
         (!) сократит время передачи.
         (!) Состоянии кнопки CS никак не влияет на данный функционал.

       o Изменен приоритет протоколов: IPv4 теперь является приоритетным, как показали замеры в гигабитной локальной сети
         IPv4 позволяет достичь более высокой скорости передачи данных.

       o Добавлено шифрование сжатых кадров удаленного рабочего стола для повышения защиты передаваемой по сети информации.

       o В случае разрыва соединения повторное подключение происходит автоматически без запроса.

       o Снижен инпут лаг при работе с удаленным рабочим столом.

       o Обновлена функция синхронизации буфера обмена с удаленной системой: теперь поддерживается передача скриншотов
         в обе стороны.

       o Обновлена функция передачи движений мыши в удаленную систему.
         Теперь доступно управление с помощью движений мыши, которое используется в некоторых приложениях и играх. (если нажата кнопка MM)
         Если указатель мыши видим в удаленной системе то управление производится позиционированием указателя по расчетным координатам (как и раньше),
         в противном случае указатель скрывается в клиентской системе и передаются лишь движения мыши.
         При возникновении проблем с восстановлением видимости указателя вы всегда можете переключиться из окна удаленной рабочего стола по горячей
         клавише RWin.

       o uVS теперь при старте добавляется в исключения Ф и брандмауэра до выхода из uVS.

       o Теперь запоминаются размеры и режим отображения удаленного рабочего стола для каждого активного монитора.
         Кнопка 1:1 применяется автоматически при первом выборе монитора.
         Обработчик кнопки 1:1 обновлен, теперь размер окна рассчитывается с высокой точностью для новых систем,
         где размер окна включает в себя тень.

       o Добавлен выбор метода захвата экрана, доступно 3 варианта:
         o GDI -  медленный метод захвата экрана, но работает в любой удаленной системе, постоянный fps.
                  (единственный доступный метод для Win2k-Win7)

         o DDA1 - быстрый, работает начиная с Windows 8, максимальный коэффициент сжатия,
                  переменный fps в зависимости от экранной активности.
                  (!) рекомендуется использовать при ширине канала ниже 100Mbit, вместо DDA2.

         o DDA2 - очень быстрый метод сравнимый с захватом экрана с помощью mirror драйвера, но без использования драйвера,
                  работает начиная с Windows 8, низкий коэффициент сжатия, переменный fps в зависимости от экранной активности.
                  Способен захватывать видео с высоким fps (до 60) за счет упрощенного метода сжатия и обработки потока кадров.
                  (метод по умолчанию для Win8+, рекомендуется при значительной экранной активности).
                  (!) рекомендуется использовать при ширине канала не менее 100Mbit, при высоких разрешениях 1Gbit и выше
                  (!) из-за низкого коэффициента сжатия.
                  (!) При низкой экранной активности трафик до 10 раз больше чем у DDA1, при высокой - в 2 раза больше.
          
       o В окно удаленной рабочего стола добавлена кнопка "SYN" она замещает собой ручной выбора задержки захвата кадров.
         (отжатая кнопка соответствует нулевой задержке)
         Если кнопка нажата то задержка, а значит и максимальный fps ограничивается автоматически в соответствии
         с пропускной способностью канала, к сожалению это понижает максимальный fps и увеличивает инпут лаг,
         однако это полностью решает проблему, которой страдают даже лучшие программы удаленного управления
         при недостаточной ширине канала. Если канал слишком узок (10Mbit и менее) то при значительной
         экранной активности (оконное видео или анимация) происходит потеря управления удаленным рабочим столом
         из-за того что новые кадры отправляются в буфер значительно быстрее, чем клиентская машина успевает их получить и отобразить,
         в результате чего даже нажатия кнопок отображаются с задержкой в несколько секунд.
         Тоже самое будет наблюдаться в uVS в сходных условиях если кнопка SYN не нажата.
         Поэтому SYN не рекомендуется отключать при значительной активности в кадре и узком канале.
         Если канал 100Mbit и выше (локальная сеть), используется DDA2 то можно выключить SYN и это сильно поднимет fps и значительно уменьшит инпут лаг.
         Кнопка SYN по умолчанию нажата, состояние кнопки сохраняется при выходе из uVS.
         Выбранная цветовая битность теперь тоже сохраняется.

       o В окно удаленной рабочего стола добавлена кнопка "MR" она позволяет управлять указателем мыши из удаленной системы,
         Функция работает ЕСЛИ кнопка нажата И курсор находится в пределах окна удаленного рабочего стола И это окно активно.
         Функция предназначена для тех случаев когда человеку на том конце проще показать проблему чем описать ее словами.

       o Теперь клиентская часть uVS автоматически завершается если удаленная система перезагружается, выключается или завершается сеанс пользователя.
         (только если открыто окно удаленного рабочего стола)

       o Значительно увеличена скорость переключения мониторов, рабочих столов и смены разрешения монитора в DDA режиме.
         (!) Однако есть побочный эффект: если новый монитор будет подключен к удаленной системе пока открыто окно рабочего стола,
         (!) то для отображения картинки с этого монитора необходимо будет закрыть/открыть окно или повторно выбрать метод захвата экрана.

       o Добавлена поддержка браузера Microsoft Edge.

       o Обновлена функция чтения и удаления расширений браузеров: Chrome, Yandex, Edge.
         Добавлены сайты с включенными уведомлениями с указанием времени активации уведомлений.
         Из окна информации о расширении удалено поле Extension_homepageURL за бесполезностью.
         Мусор оставшийся от старых расширений помечается как "файл не найден" и будет удален при вызове функции удаления ссылок на
         отсутствующие файлы.

       o Контекстное меню в окне редактирования критериев теперь тоже использует выбранный размер шрифта.

       o Улучшена совместимость с системами с малым количеством оперативной памяти.

       o Исправлена функция захвата экрана в GDI режиме.

       o Исправлена ошибка в функции чтения защищенных файлов, в некоторых случаях функция не могла получить доступ к файлу.

       o Исправлена ошибка в функции смены рабочего стола

       o Исправлены ошибки инициализации COM.

       o Исправлена ошибка из-за которой из списка проверки выпало 2 ключа автозапуска.

       o Исправлена ошибка в функции отката изменений (Ctrl+Z) при работе с образом.

       o Исправлена ошибка повторной инициализации захвата экрана в случае если рабочий стол был переключен пользователем или системой
         до повторного открытия окна удаленного рабочего стола.

       o Исправлена ошибка при открытии окна информации о компьютере.
         Добавлена дата релиза биоса, исправлено отображение объема физической памяти, добавлена расшифровка типа памяти и условное обозначение
         ее производительности.

       o Добавлена возможность открывать ключ реестра в regedit-е двойным щелчком по строке в логе или
         через контекстное меню.
         (!) Недоступно при работе с образом автозапуска.
       
×