Перейти к содержанию

вопрос по синтетическому тесту


Рекомендуемые сообщения

Замена не на него происходит, ну. А на адвапи.


Для Тотала и Фара есть аддоны, которые позволяют ковырять в реестре. Поставьте эти аддоны, сбейте хеш тоталу/фару (в любом хекс редакторе в строчке This program cannot be run in DOS замените пару букву на любые другие), затем запустите файловый менеджер, убедитесь, что он улетел в ограничения, залезте в нужную ветку реестра и пропишите туда случайную заведомо не доверенную библиотеку. Если такой библиотеки не найдёте, то возьмите любую, сделайте её копию и в копии сделайте точно также со строчкой про программу в ДОСе.

Ссылка на комментарий
Поделиться на другие сайты

  • Ответов 155
  • Создана
  • Последний ответ

Топ авторов темы

  • ossa

    67

  • Umnik

    36

  • regist

    13

  • Friend

    12

@Umnik,

вот только не выдумывайте. подключение к COM-интерфейсу advapi32.dll нужно всего лишь для возможности свободно вносить изменения в секцию KnownDlls, которая выглядит на семёрке так (скриншот). вы не сможете никак скопировать эту либу, потому что она открыта в огромном количестве процессов постоянно

 

post-50757-0-33732400-1540823189_thumb.png

Ссылка на комментарий
Поделиться на другие сайты

1. Я лишь передаю слова тестировщика, который передаёт слова разработчика. Тест, якобы, вешает ссылку на либу. Подгружает ли он её для этого при этом или нет — мне не уточняли, а я и не спрашивал.

2. Скопировать можно :) Но не нужно. Я же прошу проверять на том, что НЕ значится в доверенных по облаку или подписи.

Ссылка на комментарий
Поделиться на другие сайты

@Umnik,

вы что думаете, что в Comodo, в anti-malware.ru сидят такие профаны, которые не могут сделать нормальный тест на KnownDlls, а занимаются подделками?  почему же Comodo IS проходит этот тест???  он ведь тоже видит замену ссылки на доверенную библиотеку?  что у него там за проблемы?

пожалуйста, для тех, кто сомневается в компетентности разработчиков Comodo. уж в закулисном рекламном сговоре с поляками из Datpol вы никак их не сможете уличить. вот как проходит этот этап теста SpyShelter Premium. доверие цифровым подписям естественно отключено. жмём разрешить - тест провален, жмём запретить - пройден

post-50757-0-02625700-1540829576_thumb.png

Изменено пользователем ossa
Ссылка на комментарий
Поделиться на другие сайты

 

 


вы что думаете, что в Comodo

Не знаю.

 

 


в anti-malware.ru

А вот про этот тест знаю :) В смысле, я тоже делал для них тесты когда-то давно. Практически уверен, что конкретно этот тест делался этой самой утилитой :)

 

 

 


почему же Comodo IS проходит этот тест???

Они решили сделать иной подход. Который оправдал себя в синтетическом тесте, написанном ими самими. Предлагаешь мне таки сесть и написать тест, который и мы будем проходить? Нужно? Это что-то докажет?

Ссылка на комментарий
Поделиться на другие сайты

Они решили сделать иной подход. Который оправдал себя в синтетическом тесте, написанном ими самими. Предлагаешь мне таки сесть и написать тест, который и мы будем проходить? Нужно? Это что-то докажет?

не клеится, к сожалению. и SpyShelter Premium этому прямое доказательство. абсолютно нормальная симуляция. внедрение удалённого dll. должна быть реакция HIPS!

Изменено пользователем ossa
Ссылка на комментарий
Поделиться на другие сайты

Я не знаю, что такое SpyShelter Premium и не понимаю, почему не клеится. Мне снова повторить, то, что уже сказал? Хорошо.

Работает так, как задумано. Так сделали специально. Поведение дожно быть (должно быть — означает, что я сам не проверял, т.к. это не Android и не iOS) иным, если будет попытка прописать/заменить не доверенную библиотеку. Вот так решили. Вирусные аналитики сказали, что норм, так можно. Если будет вдруг нельзя — прилетит хот-фикс на продукт, который изменит поведение. Однако с 2008 его менять не приходилось.


И снова повторю. Мне тоже такой дизайн не нравится, правда. Я тоже считаю это неправильным. Но моё мнение ничтожно против мнения людей, которые разбирают миллионы вредоносов и имеют компетенцию, которая больше ушей на этой аватарке.

  • Улыбнуло 2
Ссылка на комментарий
Поделиться на другие сайты

@Umnik,

значит вот более менее подробно описана замена  объекта секции KnownDlls от вирлаба ESET. в данном случае рассматривалась работа одного известного вредоноса (скрины). если вы внимательно прочитаете, то ясно поймёте, что в методе речь идёт явно о загрузке именно модифицированной dll, которая никак не может быть доверенной у антивируса. так что не знаю, что там придумывает ваш тестер, но по-моему он просто сочиняет про какую-то доверенность и недоверенность. вы можете понять, что смысла нет делать такой тест, где подменять библиотеку доверенной? подменяют на библиотеку с уже якобы внедрённым кодом (заведомо неизвестную антивирусу), чтобы симулировать получение контроля над системным процессом!


а то, что вы ничего не знаете о SpyShelter Premium очень и очень странно для такого спеца в области HIPS, потому что это уже давно известное довольно качественное решение от польских разработчиков

post-50757-0-44154700-1540846363_thumb.png

post-50757-0-13392100-1540846373_thumb.png

post-50757-0-60285600-1540846379_thumb.png

Изменено пользователем ossa
Ссылка на комментарий
Поделиться на другие сайты

 

 


значит вот более менее подробно описана замена  объекта секции KnownDlls от вирлаба ESET. в данном случае рассматривалась работа одного известного вредоноса (скрины).

Здесь видно, что использовались не системные библиотеки. Или либа вредоноса, или _модифицированная_ либа, которой уже однозначно не будет доверия. Такой сценарий сразу блокируется HIPS, если верить тестировщику компонента. Потому что это именно тот сценарий, который и предусмотрен в этом дизайне компонента. Что не так? Серьёзно, вот это именно тот сценарий, который я описал выше на примере Тотал Командера и плагина для редактирования реестра.

 

 

 


а то, что вы ничего не знаете о SpyShelter Premium очень и очень странно для такого спеца в области HIPS

Я ушёл из KIS for Windows уже давно. Всё, что выходило или набирало популярность после этого мне было уже не особо важно. А потом я ещё и от Windows избавился и дома, и на работе. :) У меня про HIPS остаточные знания, новых я не получаю.

Ссылка на комментарий
Поделиться на другие сайты

Здесь видно, что использовались не системные библиотеки. Или либа вредоноса, или _модифицированная_ либа, которой уже однозначно не будет доверия. Такой сценарий сразу блокируется HIPS, если верить тестировщику компонента. Потому что это именно тот сценарий, который и предусмотрен в этом дизайне компонента. Что не так?

не так то, что в 2009-м году тестировщики antimalware.ru никакие системные библиотеки для подмены не использовали. им такая несуразица даже в голову не могла прийти. тем не менее фича эта как не работает сейчас, так и тогда не работала.

причём из вашей логики, такая несуразица вдруг пришла в головы разработчикам Comodo и вместо того, чтобы сделать нормальный тест на подмену системной dll на "пропатченную" неизвестную, они с какого-то перепугу начали делать тест на подмену на супердоверенную, системную. для чего спрашивается эта подмена???? её не сможет использовать ни один вредонос в мире! 

 

 

У меня про HIPS остаточные знания, новых я не получаю.

я так и понял. спасибо за честное признание :gooda:

Изменено пользователем ossa
Ссылка на комментарий
Поделиться на другие сайты

АМ сам тесты не проводил, они заказывали у других людей. Есть уверенность, что эти люди не использовали эту же самую утилиту? Я просто ХЗ даже, когда она появилась.

 

 


причём из вашей логики, такая несуразица вдруг пришла в головы разработчикам Comodo и вместо того, чтобы сделать нормальный тест на подмену системной dll на "пропатченную" неизвестную, они с какого-то перепугу начали делать тест на подмену на супердоверенную, системную. для чего спрашивается эта подмена???? её не сможет использовать ни один вредонос в мире! 

А я откуда знаю? У них нужно спросить.

И снова скажу, если вдруг забыли. Я тоже считаю такой дизайн спорным. И снова напомню, что такой дизайн одобрен людьми, которые знают все вредоносы в мире.

Ссылка на комментарий
Поделиться на другие сайты

 

 


И снова скажу, если вдруг забыли. Я тоже считаю такой дизайн спорным. И снова напомню, что такой дизайн одобрен людьми, которые знают все вредоносы в мире.

а я вам говорю, что я не спорю насчёт дизайна KIS пока. допустим это так, как вы говорите. 

я говорю о другом. я совершенно не верю, что разработчики Comodo сделали настолько глупый и бездарный тест на подмену одной супердоверенной системной либы на другую такую же.

Ссылка на комментарий
Поделиться на другие сайты

Почему?

Давай абстрагируемся от теста и представим другю ситуацию. Пользователь кликает по алерту — действие выполняется. Троян кликает по алерту — действие не выполняется. Почему? Потому что продукт проверяет, реально ли событие пришло из драйвера мышки или нет. Когда-то, на заре KIS, трояны кликали на разрешающие действия алертов без проблем. Но вот если не знать такой тонкости, можно ли утверждать, что раз пользователь может кликнуть на алерт, то что угодно в системе может кликнуть на алерт?

 

Или ещё ситуация. Пользователь может сделать скриншот защищённого браузера и сохранить его. Означает ли это, что троян тоже может сделать скриншот защищённого браузера и сохранить его? Вот так _может быть_ и у Комодо. При написании не закладывались на то, что логика может быть несколько усложнена и сделали самым простым способом.

Ссылка на комментарий
Поделиться на другие сайты

 

 


При написании не закладывались на то, что логика может быть несколько усложнена и сделали самым простым способом.
 

вы думаете кто-то в это поверит???  эта техника - внедрения удалённой модифицированной dll известна уже очень давно. а разработчикам Comodo известна скорее всего вообще после окончания универа.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • huang1111
      Автор huang1111
      Здравствуйте, я пользователь из Китая. На протяжении последних лет я постоянно использую продукты Kaspersky и неоднократно участвовал в ваших бета-тестированиях. Также вы много раз приглашали меня на встречи фанатов.
      Сегодня я хотел бы сообщить о проблеме, которую замечаю уже несколько лет: в китайском регионе серьёзные проблемы с качеством обслуживания со стороны технической поддержки — как в плане отношения к пользователям, так и в профессиональной компетентности. Я приведу пример на основании недавнего случая:
      ID моего обращения: INC000017453187
      Описание: при использовании антивируса Kaspersky я обнаружил несовместимость с одним из китайских приложений. Антивирус в процессе фонового сканирования (проверка на руткиты) определяет приложение как MEM:Trojan.Win32.SEPEH.gen. Это довольно распространённая ситуация, однако в процессе общения с технической поддержкой возникли следующие серьёзные проблемы:
      Проблема 1: Технический специалист, узнав, что мой файл был определён как вирус типа MEM, запросил у меня образец вредоносного ПО. Однако при таком типе обнаружения никакие файлы не изолируются, и требовать у пользователя «вирусный образец» — некорректно. Следовало бы порекомендовать сбор трассировки (trace) для анализа ситуации и поиска решения.
      Проблема 2: Когда я сообщил, что срабатывание происходит только при фоновом сканировании, и что его невозможно запустить вручную из пользовательского интерфейса, специалист не обратился к внутренней команде за решением, а просто предложил мне перезапустить компьютер, включить сбор трассировки и ждать, пока проблема снова проявится. Это абсурдно. Без понимания условий срабатывания требовать от пользователя просто ждать и долгое время записывать трассировку — это неэффективно, приводит к большому объёму логов, замедляет систему и не гарантирует результата. Более того, специалист даже не уточнил, возможно ли, что фоновое сканирование не сработает автоматически, что также говорит о безответственном подходе.
      Проблема 3: Поскольку я давно участвую в ваших бета-тестах, я хорошо знаком с работой вашей программы. Я попросил специалиста узнать у внутренней команды, существует ли способ ручного запуска такого сканирования. Однако он полностью проигнорировал мою просьбу и настаивал на своём методе — ждать бесконечно долго.
      Проблема 4: В итоге, с помощью утилиты командной строки AVP я сам нашёл способ вручную запустить нужное сканирование, успешно воспроизвёл проблему, собрал трассировку и записал видео. Но специалист технической поддержки, как оказалось, даже не знал о существовании этого метода и продолжал настаивать на том, чтобы я просто ждал.
      Вывод: За последние годы качество технической поддержки в китайском регионе значительно ухудшилось. Сотрудники не прислушиваются к пользователям и действуют как роботы, строго по инструкции, без участия и понимания. Мне неизвестно, сколько пользователей уже отказались от Kaspersky из-за подобного отношения. Я помню, как в 2022 году китайская поддержка действительно заботилась о клиентах: предлагали решения, шли навстречу. А сейчас это словно машины без души.
      Я настоятельно прошу вас провести более глубокое и всестороннее расследование текущей ситуации в китайской технической поддержке. Для антивирусного программного обеспечения качество сервиса — важнейшая составляющая.
    • Elly
      Автор Elly
      Вопросы по работе форума следует писать сюда. Вопросы по модерированию, согласно правилам, сюда писать не следует.
      Ответ можно получить только на вопрос, который грамотно сформулирован и не нарушает правил\устава форума.
    • MiStr
      Автор MiStr
      Цикл интервью с экспертами "Лаборатории Касперского" сезона 2025 года начинается прямо сейчас!
       
      Что таит закулисье расследования операции "Триангуляция"? Какие тренды в киберпреступности наблюдаются сейчас? Как попасть на работу в GReAT? Ответы на эти и многие другие вопросы знает Леонид Безвершенко, Security Researcher в Глобальном центре исследования и анализа угроз (GReAT) "Лаборатории Касперского".
       
      @bzvr готов отвечать на вопросы участников клуба по 28 марта 2025 года включительно. Традиционно интервьюируемым будет выбран лучший вопрос, автор которого получит подарок от клуба. Вопросы можно начинать задавать уже сейчас.
       

       
       
    • Elly
      Автор Elly
      Друзья!
       
      Почти все пользователи нашего клуба так или иначе пользовались или в настоящее время пользуются продуктами «Лаборатории Касперского». И у большинства из нас всегда возникали вопросы, связанные с выбором, покупкой или настройкой приложений. Сегодня мы предлагаем вам пройти викторину по "Часто задаваемым вопросам" и ответам на эти вопросы. Эти ответы помогут вам решить некоторые ваши вопросы.
       
      ПРАВИЛА
      Викторина состоит из 10 несложных вопросов, ответы на которые вы найдете на сайте Поддержки Лаборатории Касперского в одной из полезных ссылок раздела "Поддержка приложений для дома".
       
      НАГРАЖДЕНИЕ
      Без ошибок — 800 баллов Одна ошибка — 500 баллов Две ошибки — 300 баллов Баллами можно оплатить лицензии и сувениры в магазине Клуба. 
       
      ПРАВИЛА ПРОВЕДЕНИЯ
      Викторина проводится до 20:00 02 марта 2025 года (время московское).
      Правильные ответы будут опубликованы не позднее 10 дней с момента окончания викторины. Публичное обсуждение вопросов и ответов викторины запрещено. Итоги будут подведены в течение десяти дней с момента публикации правильных ответов. Баллы будут начислены в течение двадцати дней с момента опубликования итогов викторины.

      Все вопросы, связанные с корректностью проведения викторины, необходимо отправлять пользователю @oit (пользователя @Elly включать в копию адресатов) через систему личных сообщений с подробным описанием ситуации. Ответ будет дан коллегиальным решением организаторов викторины и дальнейшего обсуждения не предполагает.
      Вопросы по начислению баллов направлять пользователю @Elly через систему личных сообщений.

      Вопросы по викторине принимаются только через личные сообщения в течение срока проведения викторины и не позднее трёх дней после публикации ответов (время московское). Ответы направляются представителем от организаторов викторины через личные сообщения в рамках созданной переписки.

      Администрация, официально уведомив, может в любой момент внести изменения в правила викторины, перезапустить или вовсе прекратить её проведение, а также отказать участнику в получении приза, применить иные меры (вплоть до блокировки аккаунта) в случае выявления фактов или существенных подозрений со стороны Администрации клуба его недобросовестного участия в ней и/или нарушения правил викторины, передачи ответов на викторину иным участникам. При ответе на вопросы викторины запрещается использовать анонимайзеры и другие технические средства для намеренного сокрытия реального IP-адреса.

      Вопросы по начислению баллов, принимаются в течение 30 дней с момента подведения итогов викторины. Викторина является собственностью клуба «Лаборатории Касперского», её использование на сторонних ресурсах без разрешения администрации клуба запрещено.

      Участие в викторине означает безоговорочное согласие с настоящими правилами.
      Для перехода к вопросам викторины нажмите ЗДЕСЬ.
    • MiStr
      Автор MiStr
      Цикл интервью с экспертами "Лаборатории Касперского" сезона 2024 года подходит к концу. В завершении года мы позвали на интервью эксперта по тому продукту, которым пользуются многие участники клуба – Kaspersky Password Manager.
       
      Какие новые функции в менеджере паролей появились в последнее время? Сколько аккаунтов хранит в Kaspersky Password Manager среднестатистический пользователь? Без какого функционала, предложенного в ходе форумного бета-тестирования, сегодня невозможно представить менеджер паролей?
       
      Ответы на эти и многие другие вопросы знает Алексей Тодираш, менеджер продукта Kaspersky Password Manager.
       
      @Алексей Тодираш готов отвечать на вопросы участников клуба по 20 декабря 2024 года включительно. Традиционно интервьюируемым будет выбран лучший вопрос, автор которого получит подарок от клуба. Вопросы можно начинать задавать уже сейчас.
       

       
       

×
×
  • Создать...