Создается впечатление, что в ЛК занялись направлением "статистика заражений", а практика анализа зловредов ушла на второй (третий) план.
"Черный" список нужен, но...
Простой пример. КСН работает. Пользователь скачал тыщу файлов среди которых есть свежие, но
отсутствующие в базе зловреды. В этом случае КСН может сработать двояко. Первое - новые зловреды уже вызвали массовое заражение. Тогда КСН проявит себя адекватно. Второе - КСН с ним не будет возится вообще пока скачанный файл не запустился пользователем. В этом случае файл остается хранится на компьютере пользователя, который (не зная, что он вредоностный) может его массово растиражировать.
Возможный сценарий распространения вредоноса для этого случая.
1.Пользователь скачал множество файлов.
2.Просканировал их ФА со включенным KCH.(Логика проста : "Зачем запускать кучу файлов для дополнительной проверки есть они просканированы").
3.Переписал их на съемный носитель.
4.Перенес на слабенький ПК или нетбук (такие еще выпускают!) с "безоблачным" антивирусом другого производителя со свежими базами, но еще без детекта нового вредоноса. А если эти файлы перепакуются или заархивируются пользователем, или слегка (простым изменением MD5, без изменения вредоностного кода) модифицируется вредонос, то получится "замкнутый круг".
5.А дальше вариантов море : от заражения ПК, до непроизвольного начала эпидемии заражения.
Получается ситуация. Сканирование по требованию не найдет зловреда (его просто нет в базе), а КСН тоже проигнорирует потенциально вредоностный файл (т.е. не отработает его "облаком").
Продукт то массовый, а лицензия пользователя
индивидуальная и страдает он персонально.
ИМХО. Такая ситуация вызвана проблемами с качеством механизма работы с перепакованными (даже старыми пакерами!) файлами в КИС, а также малой гибкостью взаимодействия КСН с другими модулями. Вероятно, эта проблема (качества механизма работы с перепакованными файлами) хорошо известна не только в ЛК.
Главный итог. Потенциальный зловред отправлен в ЛК (т.е. физически файл уже находится на
серверах ЛК), но машинный анализ не проводится (как не проводится и "тонкий" анализ вирусными аналитиками).
Смущает еще тот факт, что КИС собирает статистику заражений. При этом есть резонный вопрос.
1. Он просто
не смог воспрепятствовать заражению?
2. Он
специально ждал пока пойдет заражение и потом
собрал статистику , а уже
только после этого начал процесс лечения?
