Дает ли Антивирусное ПО защиту от любых вредоносных файлов?

Vinogradof,
Подписывать такие файлы остроумно, но подло

Не, за то и пишу, не запускать, а скачать и прописать, что бы сам стартовал, а не юзер запускал..

Про загрузку...
Скрин с реально рабочей системы.

Прикрепленный файл:

(131, 58 Kb)
-------------
Добавлено в 20.34: wubildr* это жены ноут, там еще убунта стоит в образе.
-------------
Добавлено в 20.40: А, да, про подпись то =)
Оформить себе ради такого дела сертификат от доверенного центра типа верисигн, пусть он и одноразовый будет, долов то... пара сотен мёртвых президентов.

Vinogradof,
Увы здесь сложнее... автозапуска здесь и не нужно (я про тот файл, про который писал в статье), т.к. после перезагрузки не то что автозапускаемые файлы, - сама ОС не стартует =))))))) - избежать \"краха\" системы от этого файла можно 2 способами: 1) Ограниченная учетка 2) Не запускать его

Вот и ответ всплыл =)
Файл стартовал сам пользователь, а загрузи его из инета, пропиши в автозапуск и... антивирус сразу забьёт тревогу, должен забить.

Пробовал с элементарными батниками меняющими Hosts - файл, с меняющими пару системных файлов, с автозапуском (копирование себя в System32 и прописью копии через реестр (RUN) в автозагрузку)... - результат - при запуске антивирус моментально перехватил (в моем случае KIS)
-------------
Добавлено в 17.21: Kopol-xpoh,
Про батники, редактирующие Hosts - понятно, большинство поведенческих анализаторов в антивирусах моментально блокируют файлы с данным \"поведением\".
Тестировал антивирус MSE с \"Hosts-батником\" - не перехватил, а лишь определил как угрозу сам измененный Hosts файл, а сам батник легко скопировался с систему и встал в автозагрузку. (Учетка Админа).

Во-первых, у архивов как бы и нет ни цифровой подписи (вернее, она есть - в платной версии WinRAR), ни сведений о производителе. Если говорить о данном конкретном случае. Другое дело, что исполняемая часть распаковщика наверняка известна как заведомо безопасная, иначе любой самораспаковывающийся архив вызывал бы у проактивки/эвристики панику.
Не могу не согласиться. А если напишем bat-ник, перезаписывающий системные файлы? А если положим его кому-нибудь в автозагрузку? Выполнится он по идее от имени доверенного и подписанного cmd.exe.

То бишь, получается, вроде и нельзя одно и то же действие считать однозначно вредоносным. Выходит, нужно либо оповещать пользователя абсолютно обо всём, что потенциально способно нанести системе вред (а ведь ему быстро надоест всё время жать подтверждение), либо...

Насчёт замены файлов - не знаю, как где, но в Comodo Internet Security есть функционал, позволяющий блокировать попытки внесения изменений в определённые файлы. И там же есть параноидальный режим защиты - создал SFX, открыл его и тут же получил алерт:
внешняя картинка

Изменение системных файлов скрытым способом - это у того же Касперского подозрительные действия (при поведенческом анализе (не сигнатурном)) и он выдает запрос на выполнение либо запрещение (с системными файлами в частности). Акцент ставится именно на СКРЫТОЕ изменение (у касперского, сам KIS юзаю и часто получаю такие запросы).
По поводу \"HIPS, антивирус, проактивная защита\" - В KIS это все включено в один продукт, и технология HIPS в том числе.
По поводу их (данных файлов) может и не быть: файлы эти в корне системного диска присутствуют всегда (при любой установке ОС, без этих файлов ОС не старт). Попробуйте их удалить и перезагрузиться. А в разделе 100мб резерв системой лежат совсем другие файлы.
По поводу ИХ легко можно вост-вить: не каждый пользователь сможет )))
По поводу админских прав - большинство пользователей сидят на этой учетке и производитель антивирусного ПО учитывает это в первую очередь (Веду диалоги с ведущими производителями антивирусного ПО России).
-------------
Добавлено в 15.24: Vinogradof,
Добавлено в 14.27: про отсутствие данных и подписи - это фигня полная, можно их воткнуть и подписать, делов то на пять секунд
забыл ещё написать, что зловред, который вызовет из себя стандар.. \"сам файл cmd.exe является неотъемлемым файлом операционной системы и добавлен в спи...\", то как быть антивирусу?.. и потом, используя скрипты можно это сделать, а где грань атоматизаци, адним это делает либо зловред..


это уже отдельная тема - это уже обход системы антивирусной защиты используя эмитацию действий пользователя... У многих антивирусов даже ввод текста с картинки обязателен при удалении или закрытии антивируса - чтобы зловред не смог эмитировать действие пользователя по закрытию антивируса.
-------------
Добавлено в 15.58: Vinogradof,
\"По поводу правильной установке ОС\" - поставьте хоть лицуху с лиц дистрибутива (диска) \"правильно\", ну создайте диск С и Д (ну и безымянный резерв системой соответственно создаться автоматически). После завершения установки сделайте системные файлы и папки видимыми и вы увидите данные файлы в корне системного диска ) Удалите их в учетке админа и в рестарт)))
-------------
Добавлено в 16.06: Использование ограниченной учетки - 100% защита в данной ситуации ))))))
-------------
Добавлено в 16.11: Vinogradof,
По поводу: \"про отсутствие данных и подписи - это фигня полная, можно их воткнуть и подписать, делов то на пять секунд\" - добавить информацию о авторе, организации, версии ПО и прочего - дело не хитрое... Но вот подписать его так, чтобы и ОС и антивирус посчитали его \"доверенным\" - дело сложное.

так, давайте расставим все точки над i... а то как то получается каша
не нужно путать антивирус, проактивную защиту и hips системы, это как бы не совсем чётко разграничено, но разные вещи
одно проверят по сигнатурам, другое смотрит внутрь файла наличие функций, а третье на низком уровне правит правами доступов
потом, указанные в статье файлы не есть критическая точка в системе, их может вообще не быть (при правильной установке винды создаётся первым раздел в 100 метров, там всё для бута и лежит), их можно легко восстановить и без последствий для системы и минимальной потерей времени, при этом есть более критичные точки в системе, которые и нужно отслеживать (для привера host, ветки реестра...)
теперь снова - права!.. ну не нужно админа юзать, и вообще, в системе по умолчанию доступ к корню на запись имеет только администратор и нечего больше антивируснику делать как дублировать функци системы и защищать то, что и так уже правами о силами ОС защищено
по поводу видимости/не видимости окон отслеживать антивирус тоже не обязан, ибо можно написать полноэкранное окно, но весь эран будет каким-нить оверлеем с прозрачным фоном...
По мне статья изначальна полна ошибок подхода к тестированию и её название не верно по отношению к содержанию и поставленной цели.
Верное название для данной статьи - защитит ли антивирус от безолаберности пользователей, которые пренебрегая всеми правилами и рекомендациями сами открывают лазы для зловреда.
-------------
Добавлено в 14.27: про отсутствие данных и подписи - это фигня полная, можно их воткнуть и подписать, делов то на пять секунд
забыл ещё написать, что зловред, который вызовет из себя стандар.. "сам файл cmd.exe является неотъемлемым файлом операционной системы и добавлен в спи...", то как быть антивирусу?.. и потом, используя скрипты можно это сделать, а где грань атоматизаци, адним это делает либо зловред..
-------------
Добавлено в 14.27: про отсутствие данных и подписи - это фигня полная, можно их воткнуть и подписать, делов то на пять секунд
забыл ещё написать, что зловред, который вызовет из себя стандар.. "сам файл cmd.exe является неотъемлемым файлом операционной системы и добавлен в спи...", то как быть антивирусу?.. и потом, используя скрипты можно это сделать, а где грань атоматизаци, адним это делает либо зловред..

Ну видите, вы сами вводите команду в cmd, да и сам файл cmd.exe является неотъемлемым файлом операционной системы и добавлен в список доверенных антивирусом изначально. А я пишу о исполняемом файле, который НЕ ИМЕЕТ ЦИФРОВОЙ ПОДПИСИ, НЕ ИМЕЕТ СВЕДЕНИЙ О ПРОИЗВОДИТЕЛЕ И ПРОЧЕГО, и при этом грубо заменяет сист файлы на неизвестные... Эвристика и Проактивка как минимиум должна его посчитать \"подозрительным\". А в идеале: запросить разрешение на его выполнение, т.к. разрешить замену системных файлов \"неизвестной\" программе - большущий риск. )))) (одно дело когда пользователь сам заменяет файлы банальным копированием либо вводом команд, а совсем другое когда неизвестное приложение заменяет сист файлы и при этом содержит команды принудительной замены и скрытие диалоговых окон). А по поводу замены не системных файлов - то это контролируют не все антивирусы (именно замену), многие держат на контроле только системные папки. Ну а вообще если приложение пытается скрыть от пользователя изменения, которые производит, при этом не предоставляет о себе и своем производителе никаких данных - автоматом (для меня по крайней мере) становится, мягко говоря, подозрительным...

Докопаюсь до буквы. Если я заменю системный файл с помощью \"COPY /Y\", то это будет зловредным поведением процесса cmd.exe? Формально-то запрос на перезапись файла не будет выведен пользователю.
А если происходит скрытая замена не системных файлов, то можно ли не считать это зловредным поведением?