Не секрет, что количество новых вирусов, троянов, червей и других вредоносных программ растет угрожающими темпами, поэтому сейчас огромное внимание производители антивирусного ПО уделяют так называемым проактивным технологии защиты от еще неизвестных видов вирусов. В данной статье проводится анализ проактивных технологий на примерах детектирования червей Bozari.A, Bozari.B, Drudgebot.B, IRCBot!Var, Zotob.A, Zotob.B., результаты которого указывают на то, что сейчас практически нет ни одного достойного решения на их основе.
Как уже не раз подмечалось специалистами в области антивирусной безопасности, вредоносный код, который все чаще появляется в Интернете, направлен на использование различных уязвимостей. Чаще всего – это уязвимости операционной системы Windows (т.к. их чаще находят), однако были (и скорее всего будут в будущем) случаи использования вредоносным кодом уязвимостей прикладного программного обеспечения. И они не менее опасны, стоит только вспомнить известный червь SQL Slammer, который использовал уязвимость в ПО MS SQL Server.
Конечно, в первую очередь все дело в распространенности данного ПО. Чем она больше и чем больше находят в нем ошибок, тем больше вероятность появления вредоносного кода, который найдет эту брешь в вашей защите. Конечно, здесь актуален вопрос, а почему нельзя закрыть данную уязвимость официальным обновлением? Ведь вредоносный код, использующий ту или иную уязвимость, появляется позже, чем выходит обновление от производителя. Да, это все так, однако как показывает практика, конечные пользователи бояться ставить обновления от производителя на "боевую" систему, т.к. не один раз наступали на грабли – остановка работы системы, после установки обновлений. Большинство сейчас придерживается тактики: подождать месяц-другой, пока все поставят и оттестируют, а производитель к этому времени выпустит "обновление к обновлению", после чего можно будет, не боясь обновить систему (хотя и в этом случае существует риск отказа, хотя и намного меньший).
Бесспорно, такая ситуация благоприятна для разработчиков вредоносного кода, использующего подобные уязвимости в операционных системах или прикладном программном обеспечении.
Но в то же время, возникает вопрос, если мы знаем о наличии уязвимости, неужели мы не в состоянии определить вредоносный код, который эту уязвимость хочет использовать. Производители антивирусов нам подсказывают решение – проактивная технология обнаружения вирусов. Однако в данный момент, как показывает практика, нет практически ни одного достойного решения на основе этой технологии. Так 22 августа на сайте независимого исследователя антивирусных решений http://www.av-test.org/ появился результат исследования антивирусов на предмет реакции и обнаружения червей, использующих для своего распространения уязвимость в операционной системе Windows, описанную в статье MS05-039.
В таблицах ниже, приведены выдержки из исследования AV-Test GmbH, полный отчет можно посмотреть здесь – http://www.av-test.org/down/ms05-039.zip.
Червь Bozari.A
|
|||||||||||||||||||||||||||||||||||||||||||
Червь Bozari.B
|
|||||||||||||||||||||||||||||||||||||||||||
Червь Drudgebot.B
|
||||||||||||||||||||||||||||||||||||||||||||
Червь IRCBot!Var
|
||||||||||||||||||||||||||||||||||||||||||||
Червь Zotob.A
|
|||||||||||||||||||||||||||||||||||||||||||
Червь Zotob.B
|
|||||||||||||||||||||||||||||||||||||||||||
Ситуация к сожалению печальная – можно сказать, что ни один из наиболее распространенных антивирусов, приведенных выше, кроме румынского BitDefender, который детектировал все вирусы проактивно, не прошел тест. А ведь используется одна и та же уязвимость! Как мне кажется разговоры здесь о том, что кто-то из антивирусных производителей на час опередил другого в добавлении сигнатур вируса в свою базу – просто не уместны.
Так же проблема еще состоит в том, что домашний пользователь может себе поставить любой из антивирусов, которые успешно прошли тестирование (см. полные результаты анализа), а вот у корпоративного пользователя возникает проблема. Ни одно из решений, подтвердивших качество работы своих проактивных алгоритмов, не претендует на решения по защите большого предприятия. Но это уже совсем другой разговор.
Автор: Николай Терещенко
Эксперт по информационной безопасности Anti-Malware.ru
11.10.2005
