» Обзор антивирусов под Windows XP

dimbat где можно взять сылку на архив с вирями для теста

Vsevolod

Цитата:

хи, тестик
http://www.virusbtn.com/vb100/archives/products.xml?table

Что-то я из этого теста ничего не понял.
Какой результат?

vladsmya
Этот тест спонсируется ESET и Symantec - из него мало что можно понять.

gvardieli

Тестите на здоровье http://www.redshadow.nm.ru/soft/80.rar
pass: virus_80

Касперский
проверено 84
обнаруж. вирусов 72
обезвр. 8
удалено 64

DrWeb
проверено 80
инф. 7
удалено 7

McAfee VSE 8.0i

Files scanned : 79
Files with detections : 67
File detections : 67
Files not scanned : 1

Vsevolod
Др.Веб находит 70, не 7, поправь пожалуйста

Panda Titanium 2004

Проверено: 82
Заражено : 60
Вылечено: 50
Переименовано: 10

NOD32 2.12.3
сборка 1.1007

проверено: 80
обнаружено: 64

wood
У меня McAfee VSE 8.0i с базами 4433 определил только
Files scanned : 79
Files with detections: 59
Files not scanned : 1
Почему такая разница? Может с настройками? Не подскажешь. Ты ведь спец по McAfee VSE 8.0i.
Спасибо!

Gals
у меня стоит еще McAfee Anti-Spyware Enterprise Edition Module (Beta II).
Настройки сканера : "проверять все файлы" , "искатьнеизвестные", "искать макровирусы","искать нежелательные программы" и "спросить пользователя".

Gals
Может он проверял директорию с уже распакованными тушками, а ты on-the-fly при распаковке архива ?

Stamir
с распакованными конечно, настройки монитора у меня несколько иные!

wood


Цитата:

у меня стоит еще McAfee Anti-Spyware Enterprise Edition Module (Beta II).

Где можна слить данный продукт?

Stamir

Я пробовал по разному и везде разные результаты! Но результата как у wood не было.

wood

Цитата:

настройки монитора у меня несколько иные!

А какие не подскажешь?
Спасибо!

Кстати неплохо бы при вывешивании ваших результатов тестирования писать чей это результат, монитора или сканера.
Лично мне гораздо интереснее монитор, ибо если он хорошо ловит, то в сканере нет необходимости.

Karlsberg
оказывается, несмотря на то, что я выключил Касперского, он всё же отлавливал гад. И потому у меня нашёл 7, эти 7 можно считать найдеными после Каспера.

И вот я отключил, обновил базы и ...

проверено 97
инф. 72
модифик. 1
исцелено 6
удалено 64

Добавлено:
кстати, запустил Каспера после drweb, на то, что осталось

проверено 19
вир. 6
обезвр. 1
удалено 5



Вывод такой, 6 вирусов знает касперский, но не знает drweb, и 7 вирусов знает drweb, которых не знает касперский.

Vsevolod
Это все напоминает ситуацию "кто первый встал - того и тапки" . Я буквально вчера первый раз за все время пользования Касперским (более 7 лет) увидел, как он не ловил вирус (и локально и в онлайн), который ловил Dr.Web в онлайн. Ответ техподдержки был таков: "Это новая модификация вируса такого-то. Будет включена в следущее обновление".

насчет к-го тут говорили
касперский рулит:))
мой опыт:
---найден вирус
---принято решение - лечить
---результат: лечить невозможно.
---поехали дальше сканнировать.

т.е. это говно (имхо), за которое люди деньги платят, кроме ПОЛНЕЙШИХ тормозов системы еще и неспособно работать по своему прямому назначению???
все имхо по результатам периодического многолетнего общения с тов.Касперским.

ну а теперь о новом.
с недавних пор стал замечать у себя подозрительный исходящий траффик и периодические полные тормоза системы.
как оказалось - в списке процессов есть какой-то Svr32.exe
выяснилось, что это Exploit-DcomRpc.gen(Trojan) (c:\WINDOWS\system32\srv32.exe\srv32.exe)

макафи не прибил
касперский не прибил
щас качаю нод32 и битдефендер
если нервов хватит - разберусь
а так.. один выход - систему сносить..:((

zboy
А в сейфмоде удалить религия не позволяет ? Или ты решил совместить удаление виря с выбором нового антивиря ?
Symantec 9 попробуй...

zboy

Цитата:

в списке процессов есть какой-то Svr32.exe
выяснилось, что это Exploit-DcomRpc.gen(Trojan) (c:\WINDOWS\system32\srv32.exe\srv32.exe)

переименуй в srv32.old (система должна позволить) и после перезагрузки убивай.

Gals
есть ветка по продуктам McAfee, там есть всё что ты спрашиваешь

Добавлено:
Stamir

Цитата:

Лично мне гораздо интереснее монитор, ибо если он хорошо ловит, то в сканере нет необходимости.

у меня в мониторе стоит "проверять файлы по-умолчанию", те согласно вбитых расширений МсАфии (можно добавлять свои) и отключена проверка архивов, поэтому с какого перепугу монитор начнет проверять такое, к примеру расширение "#xe" ?

wood

Цитата:

у меня в мониторе стоит "проверять файлы по-умолчанию", те согласно вбитых расширений МсАфии (можно добавлять свои) и отключена проверка архивов, поэтому с какого перепугу монитор начнет проверять такое, к примеру расширение "#xe" ?

А нафиг надо ? Такой файл ты всё равно запускать не будешь, а ежели кто-то переименует или попробует запустить как процесс, то монитор всё равно обнаружит и прибьёт.

Stamir
wood
он удаляется, но снова появляется через 2 минуты.
макаффи говорит, что lsass.exe пытается переполнить буфер.
вот так и работаю уже второй день - с каждоминутно выскакивающей табличкой макаффи

Добавлено:
и с двумя антивирями на борту - Macaffee и NOD32

zboy
Если можно, вышли этот вирусок на spam_killer@ukr.net

Liberty_2000
выслал. lsass.exe.zip
Srv32.exe не сохранился - макаффи снес

zboy
thanx

All

ИМХО назрела уже необходимость обновления шапки - т.е. тестирования обновленных версий представленных АВ. Критерии можно обсудить, или использовать старые, которые довольно долго обсуждали. Вот только базу для тестов хорошо бы обновить, но за неимением пойдет и старая.

ну так можно пока подвести итоги по этим 80 вирусам

найдено вылечено удалено

DrWeb 4.32b
72 6 64

Касперский Personal 5.0.227
72 8 64

McAfee VSE 8.0i
67 ? ?

Panda Titanium 2004
60 50 ?
(переименовано 10)

NOD32 2.12.3
сборка 1.1007
64 ? ?

Norton Antivirus 2005
(update 23.02.05)

Detected: 62
Repaired: 2
Quarantined: 21
Deleted: 39

Че-то слабовато...

zboy

Цитата:

он удаляется, но снова появляется через 2 минуты

отключи восстановление системы , а так же поищи копию файлика

Цитата:

он удаляется, но снова появляется через 2 минуты.
макаффи говорит, что lsass.exe пытается переполнить буфер.

Абсолютно ту же историю наблюдал вчера на машине без фаерволла. Только сообщение вывешивал не макаффи, а нортон, сообщая о Download.Trojan (не даунлоудер, а именно так). Причем, и нортон, битдефендер (последний через интернет) при сканировании всей системы нифига не находили после очередного стирания нортоном преславутого \system32\Srv32.exe.

Т.е. совершенно очевидно, что вредоносный вирус, спрятанный где-то, все время создавал этот файл. Процесс lsass поедал все время процессора, запущенные программы после выхода из них оставались висеть в списке процессов, в результате, заканчивалась системная память, и висло все, особенно нортон антивирус.

CLRAV Касперского ни фига не нашел. Мне все это надоело, я снес НАВ. После перезагрузки файла Srv32.exe не обнаружил, но через несколько минут он появился, возник в списке процессов и занял 95% ЦП.

На здоровом компе битдефендер опознает файл как Win32.Worm.Opasoft.S.

Сам файл отправлен Liberty_2000

Поставил битдефендер на больной комп. Перезагрузился в safe mode, стер злополучный файл, убрал его регистрацию в качестве системной библиотеки из регистра. Вроде все нормально...

zboy
Alois
отправьте копию файла хотя б в тот же AVERT, с описанием проблемы, думаю, что-нибуть придумают.

Добавлено:

Цитата:

Trojan Name Risk Assessment Exploit-DcomRpc
Corporate User : Low
Home User : Low

Trojan Information
Discovery Date: 07/29/2003
Origin: Unknown
Length: Varies
Type: Trojan
SubType: Exploit
Minimum DAT: 4281 (07/30/2003)
Updated DAT: 4434 (02/25/2005)
Minimum Engine: 4.1.60
Description Added: 07/29/2003
Description Modified: 05/11/2004 1:24 AM (PT)

Trojan Characteristics:
-- Update 11 May 2004--
W32/Sasser.worm.f is proactively detected as Exploit-DcomRpc with the 4288 DAT files and 4.2.40+ scan engine. This detection requires the scanning of compressed executables to be enabled. (VirusScan 7 and above provides the ability to disable this option, however it is enabled by default).
--

-- Update 21 April 2004 --
W32/Blaster.worm.k is proactively detected as Exploit-DcomRpc with the 4289 DAT files and 4.1.60+ scan engine. This detection requires the scanning of compressed executables to be enabled.(VirusScan 7 and above provides the ability to disable this option, however it is enabled by default).

-- Update 13 Aug 2003 --
W32/Lovsan.worm.c is proactively detected as Exploit-DcomRpc with the 4283 DAT files and 4.1.60+ scan engine. This detection requires the scanning of compressed executables to be enabled (VirusScan 7 provides the ability to disable this option, however it is enabled by default).

-- Update 11 Aug 2003 --
W32/Lovsan.worm is proactively detected as a variant of Exploit-DcomRpc with the 4283 DAT files and 4.1.60+ scan engine. This detection requires the scanning of compressed executables to be enabled (VirusScan 7 provides the ability to disable this option, however it is enabled by default).

-- Update 08 Aug 2003 --
A popular DCOM RPC vulnerability scanner is detected with the 4283 DAT files as the Exploit-DcomRpc trojan.

File details
Name: RetinaRPCDCOM.exe
Size: 794,624 bytes
Description: Retina Scanner
Company: eEye Digital Security
MD5:0x52EB5902772808F56D42D761BDF47E11
This detection occurs as a result of enhanced exploit detection in the DAT files and the Retina Scanner's use of exploit code as a means to assess the vulnerability state of target systems. The intention of this scanner is not malicious. However, AVERT does recognize the ability for an attacker to use this beneficial tool in a malicious manner. For this reason, the 4285 DAT file will contain detection for this tool as a "Potentially Unwanted Program".
-- Update 07 Aug 2003 --
In 4283 DATs AVERT has made this detection as generic as possible to enhance the proactive protection from any malware based on exploitation of MS03-026 vulnerability. If you have a sample detected as Exploit-DcomRpc please submit it to AVERT . (Please also do the same if you believe any program is incorrectly identified as Exploit-DcomRpc.)
--

This detection covers exploit tools that makes use of the RPC Interface Buffer Overflow (7.17.03) vulnerability also known as MS03-026.

These exploit tools may, for example, create a remote shell to provide access to a compromised system or execute alien code on the remote computer.