Bitdefender, a kwestia Ransomware. TEST

Witajcie,

tym razem postanowiliśmy przyjrzeć się aplikacji Bitdefender. Jak wiecie lub nie, na przeróżnych forach "security" uchodzi ona za pogromcę wirusów policyjnych Ransomware tj. blokujących ekran i żądających "haraczu" za odblokowanie. Niestety są osoby, które płacą.

We wcześniejszych testach kilkukrotnie wykazałem, że oprogramowania zabezpieczające przynajmniej na domyślnych ustawieniach nie radzą sobie z nowymi próbkami tego szkodnika, czyli takimi których nie są w stanie zlikwidować za pomocą tzw. definicji.

Jak poradził sobie Bitdefender oraz jakie zachowania walki z Ransomware można zauważyć na krótkim teście?

1. Infekcja Ransomem uruchomionego systemu.
2. Wylogowanie się z konta i ponowne zalogowanie - obserwacja działania wirusa.
3. Restart systemu.

Alexander napisał:

Witajcie,
tym razem postanowiliśmy przyjrzeć się aplikacji Bitdefender. Jak wiecie lub nie, na przeróżnych forach "security" uchodzi ona za pogromcę wirusów policyjnych Ransomware tj. blokujących ekran i żądających "haraczu" za odblokowanie.

Kliknij aby rozwinąć...

Nie tylko...na niektórych forach jest okrzyknięty : Królem Pakietów.I patrząc na ostatnie testy faktycznie się wyróżnia
Symantec padł na tym policyjnym,ciekawe jak Rusek by go ogarnął

Nie tylko...na niektórych forach jest okrzyknięty : Królem Pakietów.I patrząc na ostatnie testy faktycznie się wyróżnia
Symantec padł na tym policyjnym,ciekawe jak Rusek by go ogarnął

Kliknij aby rozwinąć...

No właśnie ani jeden ani drugi rusek nie dają rady.
KIS na domyślnych totalna blokada i to nawet po restarcie, a Doktorek jedynie co dostęp do sieci blokuje i się wyświetla biały alert.

Alexander napisał:

No właśnie ani jeden ani drugi rusek nie dają rady.
KIS na domyślnych totalna blokada i to nawet po restarcie, a Doktorek jedynie co dostęp do sieci blokuje i się wyświetla biały alert.

Kliknij aby rozwinąć...

No tak ale niektórzy twierdzą,że domyślne to żadne ustawienia,więc test niemiarodajny .Dopiero jak podpicujesz suwakami na maxa to można prowadzić dysputę.

Hornet napisał:

Alexander napisał:

No właśnie ani jeden ani drugi rusek nie dają rady.
KIS na domyślnych totalna blokada i to nawet po restarcie, a Doktorek jedynie co dostęp do sieci blokuje i się wyświetla biały alert.

Kliknij aby rozwinąć...

No tak ale niektórzy twierdzą,że domyślne to żadne ustawienia,więc test niemiarodajny .Dopiero jak podpicujesz suwakami na maxa to można prowadzić dysputę.

Kliknij aby rozwinąć...

Kaspersky IS ma specjalne ustawienia co do uruchamiania podejrzanych plików (jak zaufanie tylko KSN itp, itd).
Natomiast wirusy te również występują w różnych wydaniach i zdarzały się też takie, które potrafiły przebić się przez HIPSa i zablokować tryb awaryjny.

To dopiero masakra.


PS. Bit tu jest testowany na domyślnych ustawieniach, a sobie radzi. Do tego typowi użytkownicy nie zmieniają ich, gdyż wgrywają program " i o nim zapominają", stąd taka moda na automaty ( nawet Comodo domyślnie wyłączył HIPSa).
Trudno, takie sytuacje są codzienne, Ransomware to nierzadko temat numer 1 pomocy na forach malware.

Alexander napisał:

PS. Bit tu jest testowany na domyślnych ustawieniach, a sobie radzi. Do tego typowi użytkownicy nie zmieniają ich, gdyż wgrywają program " i o nim zapominają", stąd taka moda na automaty ( nawet Comodo domyślnie wyłączył HIPSa).

Kliknij aby rozwinąć...

Czyli pi razy drzwi ok.95% użytkowników.

Spokojnie, w pierwszej dziesiątce antywirusów pod względem statystycznym liczby użytkowników, ja żadnego programiku z HIPSem nie widziałem.

Z resztą Kaspersky nawet z Sandboxa zrezygnował i wprowadził ( w mojej ocenie genialną) funkcję Bezpiecznych Pieniędzy.

McAlex-miałem na myśli,że 95% nie zmienia ustawień w automatach .
No tak ale te Bezpieczne Pieniądze nie są chyba zamiennikiem piasku bo służy tylko do transakcji pieniężnych.

Hornet napisał:

McAlex-miałem na myśli,że 95% nie zmienia ustawień w automatach .
No tak ale te Bezpieczne Pieniądze nie są chyba zamiennikiem piasku bo służy tylko do transakcji pieniężnych.

Kliknij aby rozwinąć...

To też się zgadzam z tym 95 %
Ale praktyczne te Bezpieczne pieniądze są, nie trzeba żadnej dedykowanej przeglądarki włączać.
Choć portfel Bitdefendera, który będzie dostępny od v.2014 też fajny, trochę Sticky Password przypomina.

Alexander napisał:

Hornet napisał:

Alexander napisał:

No właśnie ani jeden ani drugi rusek nie dają rady.
KIS na domyślnych totalna blokada i to nawet po restarcie, a Doktorek jedynie co dostęp do sieci blokuje i się wyświetla biały alert.

Kliknij aby rozwinąć...

No tak ale niektórzy twierdzą,że domyślne to żadne ustawienia,więc test niemiarodajny .Dopiero jak podpicujesz suwakami na maxa to można prowadzić dysputę.

Kliknij aby rozwinąć...

Kaspersky IS ma specjalne ustawienia co do uruchamiania podejrzanych plików (jak zaufanie tylko KSN itp, itd).
Natomiast wirusy te również występują w różnych wydaniach i zdarzały się też takie, które potrafiły przebić się przez HIPSa i zablokować tryb awaryjny.

Kliknij aby rozwinąć...

Ja, konfigurując korporacyjną odmianę KIS 2011 - Kaspersky Endpoint Security 8 na komputerach publicznie dostępnych nie polegam na ustawieniach ochrony plików, bo w mojej ocenie nawet przy KSN reakcja Rusków jest strasznie wolna. Niedawny przykład - opisywany tu na forum wirus z fejsa. Emsisoft (czyli silnik BD) wykrywał go chyba od samego początku. Kaspersky nie. Podobnie szkodliwe rozszerzenie do Firefoxa (plik .xpi) - można było go wykonać (przy Emsisofcie i Kasperskym), ale ten pierwszy po wywołaniu skanowania ubijał szkodnika. Kaspersky (pomimo, że zgłosiłem i dostałem potwierdzenie o dodaniu nowego wirusa do baz) dalej nie blokuje .xpi, nawet w procesie skanowania.
Stąd chyba jedyna skuteczna metoda to takie ustawienie wbudowanego HIPSopodobnego modułu (Kontrola uprawnień aplikacji, a w domowych to chyba jest Kontrola aplikacji) żeby wszystkie nowe pliki traktował jako Niezaufane (co blokuje ich start), a dopiero jak jestem pewny że to dobry plik to ręcznie przestawiam na Zaufany. Ustalanie ratingu o KSN to w przypadku wielu szkodników nic nie daje (przynajmniej jak sprawdzałem na różnych próbkach).
A do Firefoxa jest takie świetne rozszerzenie PublicFox. Można sobie zablokować, nawet jednoznakowym hasłem, modyfikację dodatków, co blokuje też ich instalację, a nie podanie lub podanie złego hasła powoduje automatyczne kliknięcie Zamknij w tym okienku i dodatek się nie zainstaluje.

Tego wirusa z wtyczki Firefoxa do tej pory wiele produktów nie wykrywa pomimo wysłania do analizy. To jest inny rodzaj ataku i niektóre systemy analizujace go w ogóle nie rozpoznają. Co ciekawe Bit wykrywa zagrożenie w trakcie skanu czy pobierania, ale w czasie rzeczywistym już nie. Dziwne to wszystko.