Sprawdzanie skuteczności takzwanych skanerów antywirusowych nażądanie podkątem detekcji zagrożeń tobardzo specyficzny test. Wewspółczesnym świecie, zarówno użytkownik indywidualny jak ikorporacyjny bardzo często stosuje przedstawione wtym raporcie aplikacje. Ich rola nadal pozostaje niezmienna —pozwala upewnić się codostanu bezpieczeństwa urządzenia.
Kluczowym zadaniem skanerów nażądanie jest wykrycie orazcałkowite usunięcie zagrożenia lub pozostałości ponim —awniektórych przypadkach leczenie zainfekowanego systemu, którymoże mieć wpływ nabezpieczeństwo ikomfort pracy zkomputerem.
Wszystkie zprzetestowanych przezAVLab skanerów umożliwiają wskazanie lokalizacji, które powinny zostać sprawdzone podkątem zainfekowanych plików woparciu ozaimplementowane technologie skanujące danego producenta. Wteście niebrano poduwagę dostępnych skanerów, które oferują jedynie takzwane szybkie skanowanie, nieuwzględniając preferencji użytkownika codoweryfikowania bezpieczeństwa konkretnej lokalizacji lub partycji.
Wwykrywaniu kilku tysięcy zainfekowanych plików najlepszym poziomem detekcji charakteryzowały się aplikacje: Arcabit Skaner Online, Emsisoft Emergency Kit, ESET Online Scanner orazTrend Micro HouseCall.
Pozostałe programy, chociaż uzyskały certyfikat potwierdzający ich skuteczność, toniezapewniały detekcji natakwysokim poziomie, jak teskanery, które otrzymały najwyższe wyróżnienie „BEST+++” wykrywając ponad 99% z7089 próbek.
Wprzedziale wykrywalności 98-99 procent z7089 użytych dotestu różnych wirusów znalazły się skanery: Dr.Web CureIt!, Kaspersky Virus Removal Tool, Panda Cloud Cleaner orazSophos Clean.
Czas skanowania wszystkich plików przezposzczególne aplikacje był bardzo zróżnicowany iwahał się odkilku minut dokilkudziesięciu, coitaknieprzekładało się nawiększą ilość detekcji. Najdłuższym czasem skanowania charakteryzowały się programy: Panda Cloud Cleaner, Comodo Cleaning Essentials (niekiedy aplikacja tażądała ponownego uruchomienia systemu, aby kontynuować skanowanie) orazWindows Defender.
Emsisoft Emergency Kit, Dr. Web Cureit!, Malwarebytes Anti-Malware iClamWin Free Antivirus toprogramy, które najszybciej uporały się zesprawdzeniem kolekcji próbek. Chociaż należy przyznać, żezróżnym skutkiem.
Najwyższe wyróżnienie BEST+++ otrzymały programy
Emsisoft Emergency Kit, Trend Micro HouseCall, Arcabit Skaner Online, ESET Online Scanner.
Testowane programy
- Arcabit Skaner Online: 1.0.4
- ClamWin Free Antivirus *: 0.99.1
- Comodo with Cleaning Essentials: 2.5.242177.201
- Dr.Web CureIt!: 11.1.2
- Emsisoft Emergency Kit: 11.9.0.6508
- ESET Online Scanner: 2.0.12.0
- Kaspersky Virus Removal Tool: 15.0.19.0
- Malwarebytes Antimalware Free: 2.2.1.1043
- Panda Cloud Cleaner: 1.1.9
- Sophos Clean (dawniej HitmanPro): 3.7.13.262
- Trend Micro HouseCall: (1.62)
- Windows Defender *: 4.10.14393.0
* Clamwin Free Antivirus iWindows Defender zapewniają ochronę wczasie rzeczywistym, jednak niebrano tego pouwagę. Ochrona naczas skanowania została wyłączona.
Metodologia iwyniki
Skaner antywirusowy nażądanie tospecyficzne oprogramowanie, więczastosowana przezAVLab metodologia testu wykracza poza typowe skanowanie kolekcji próbek. Oprócz badania faktycznej skuteczności detekcji tysięcy próbek złośliwego oprogramowania, wteście brano poduwagę usuwanie szkodliwych plików ikluczy rejestru pozainfekowaniu systemu operacyjnego.
Aby sprawdzić wykrywalność najpopularniejszych darmowych skanerów antywirusowych oferowanych jako bezpłatne narzędzia odkilku producentów, przygotowano obraz wirtualnego systemu Windows 10 Professional x64 znajnowszymi aktualizacjami. System wkażdym dniu testów był przywracany dostanu początkowego. Dzięki takiemu rozwiązaniu, wszystkie produkty zostały przebadane widentycznym środowisku testowym.
Materiał badawczy dopierwszej części testu włącznej ilości 7089 próbek pozyskano wewspółpracy zniezależnymi badaczami. Analogicznie —wdrugiej części testu —wybrano 6 konkretnych zagrożeń, które niewchodziły wskład materiału badawczego wykorzystanego dopierwszej części testu.
AVLab pozyskując próbki dotestów niewspółpracuje zżadnym producentem oprogramowania zabezpieczającego. Dzięki temu niezachodzi podejrzenie, żetestowany program wykrywa zagrożenia dostarczone przezwłasnego producenta.
Wczasie badania wszystkie programy były zainstalowane nadomyślnych ustawieniach, mogły korzystać zInternetu, awprzypadku dwóch aplikacji: Dr. Web Cureit iKaspersky Removal Tool, każdego dnia pobierano nowszą wersję programu (automatyczna aktualizacja zagrożeń niejest wnich dostępna).
cz.1 (skanowanie kolekcji wirusów)
- Dla każdego testowanego programu odtwarzano obraz systemu operacyjnego, dzięki czemu wiernie odwzorowano środowisko pracy dla każdej aplikacji.
- Każdego dnia testu dobierano niepowtarzające się próbki zagrożeń.
- Przedwskazaniem doskanowania folderu zzainfekowanymi plikami, aktualizowano sygnatury donajnowszej wersji lub pobierano nowe wersje aplikacji (jeśli było tokonieczne) zwbudowanymi sygnaturami.
cz.2 (leczenie zainfekowanego systemu)
- Dotejczęści testu dobrano różnego rodzaju zagrożenia orazpoddano ich manualnej analizie, aby sprawdzić, jakie obszary systemowe sąinfekowane.
- Naodtworzonym obrazie systemu zpierwszej części testu, każda próbka została sekwencyjnie uruchomiona, poczym wykonywano restart systemu operacyjnego. Jeśli było towymagane, udzielano zezwolenia nauruchomienie malware zuprawnieniami administratora.
- Testowane programy miały zazadanie wykryć zainfekowany plik (dropper) lub utworzone wwyniku infekcji zmiany wsystemie.
- Jeśli było towymagane, zezwalano narestart systemu operacyjnego wczasie pracy skanera antywirusowego nażądanie.
próbka A:
backdoor Kelihos —powoduje, żezainfekowana stacja robocza może zostać wykorzysta dorozsyłania spamu, wykradania poufnych informacji, pobierania iuruchamia innych zainfekowanych plików, wtym trojanów. Zainfekowany bot, aby komunikować się zinnymi komputerami zombie, wykorzystuje połączenie P2P. Wzdecentralizowanej sieci, zainfekowana maszyna może działać jako klient lub serwer C2 przyjmując iwysyłając polecenia zserwera kontrolno-zarządzającego.
próbka B:
backdoor Careto —obejmuje niezwykle wyrafinowane szkodliwe oprogramowane składające się zrootkita ibootkita. Zzaobserwowanych przezbadaczy wariantów wynika, żewszystkie wersje tego malware przeznaczone sądla 32 i64 bitowych systemów Mac OSX, Linux, Windows oraz(prawdopodobnie) Androida iiOS (zniepotwierdzonych informacji także BlackBerry OS). Backdoor Careto (alias Maska) zewzględu naswoje możliwości, najprawdopodobniej powstał nazlecenie jednego zrządów państw.
Backdoor Careto może przechwycić ruch sieciowy, wciskane klawisze, rozmowy Skype, klucze PGP, potrafi analizować ruch WiFi, monitorować wszystkie operacje naplikach, gromadzić listę dokumentów zzainfekowanego systemu, wtym klucze szyfrowania, konfiguracje VPN, klucze SSH ipliki PROW. Backdoor Careto podwzględem wyrafinowania jest jednym znajbardziej zaawansowanych zagrożeń APT.
próbka C:
keylogger Ardamax —komercyjny spyware, którzyzostał wykorzystany wjednej zesocjotechnicznych kampanii „na komornika” wycelowanej wobywateli Polski. Zapomocą tego narzędzia możliwe jest automatyczne wysyłanie zebranych logów idanych nadowolny adres e-mail lub konto FTP.
Keylogger Ardamax potrafi: rejestrować naciskane klawisze, zapisywać historię odwiedzanych stron WWW, nagrywać obraz zkamery idźwięk zapomocą mikrofonu, przechwytywać skopiowany doschowka systemowego tekst, monitorować komunikatory AIM, Windows Live Messenger, ICQ, Skype, Yahoo Messenger, Google Talk, Miranda iQiP. Zapisane wten sposób informacje mogą zostać wysłane nawskazany adres e-mail lub konto FTP.
próbka D:
trojan Emotet —wcelu ukrycia się przedprogramami antywirusowymi przechowuje swoje pliki wrejestrze systemowym. Trojan Emotet omodułowej budowie zawiera: własny instalator, moduł bankowy, moduł bota antyspamowego, moduł dokradzieży kontaktów zpopularnych klientów poczty (posiada zdolność auto-dystrybucji, potrafi wykradać adresy zklientów poczty iwysyłać ten sam spam doofiar zlisty kontaktów), moduł doataków DDoS (Nitol DDoS bot).
Trojan Emotet zawiera listę popularnych adresów bankowych. Jeśli zainfekowany użytkownik odwiedza jeden zezdefiniowanych adresów URL, Emotet rejestruje wszystkie dane przesyłane pomiędzy użytkownikiem astroną internetową —nawet, jeśli strona jest szyfrowana protokołem HTTPS.
próbka E:
trojan downloader —jak sama nazwa wskazuje, trojan downloader zawiera szkodliwy lub potencjalne niechciane oprogramowanie, które pobiera iinstaluje wzaatakowanym systemem. Pobrany wten sposób dropper instaluje docelowego wirusa, którymoże być następnie wykorzystany doróżnych celów.
Droppery często wykorzystywane sądoprzenoszenia znanych trojanów, ponieważ znacznie łatwiej jest napisać droppera niż zupełnie nowego trojana, któregoprogram antywirusowy niebędzie wstanie wykryć.
Wteście wykorzystano trojana, którytworzy nadysku kilka plików. Jeden znich pobiera dodatkowe złośliwe oprogramowanie.
próbka F:
trojan Poweliks —wykorzystuje podatności wzabezpieczeniach programu Microsoft Word iprzy pomocy spreparowanego dokumentu Word, którydystrybuowany jest zapośrednictwem poczty e-mail, instaluje dodatkowy kod, któryjest skryptem PowerShell zakodowanym wBase64 wywołując iwykonując niskopoziomowy program (schellcode) napisany wasemblerze. Wkońcowym etapie, schellcode wykonuje binarny ładunek, którypróbuje się połączyć zzakodowanymi adresami IP, aby otrzymać dalsze polecenia zserwera C&C
Trojan Poweliks może być wykorzystany dopobierania iwykonywania plików. Wszystkie swoje działania przechowuje wrejestrze —nietworzy żadnego pliku nadysku twardym, więcjego wykrycie wymaga detekcji zainfekowanego dokumentu Word lub ochrony / przeskanowania rejestru.
Przyznane nagrody przezAVLab
Najwyższe wyróżnienie BEST+++, zadoskonałą detekcję zagrożeń otrzymały programy: Emsisoft Emergency Kit, Trend Micro HouseCall, Arcabit Skaner Online iESET Online Scanner.
Wysoką skutecznością detekcji kolekcji próbek charakteryzowały się aplikacje: Kaspersky Virus Removal Tool, Dr.Web CureIt!, Sophos Clean iPanda Cloud Cleaner.
Programy, które wteście bezpłatnych skanerów antywirusowych wypadły zupełnie przeciętnie, to: Comodo Cleaning Essentials, Malwarebytes Anti-Malware Free iClamWin Free Antivirus.
Windows Defender tobezpłatny iwbudowany wsystem Windows antywirus, któregoAVLab niepoleca.
Komentarz dotestu
Zprzetestowanych bezpłatnych skanerów antywirusowych polecamy wszystkie teprogramy, które uzyskały certyfikat potwierdzający ich wysoką skuteczność, awięcBEST+++ orazBEST++.
Pozostałe aplikacje nieosiągnęły takwysokiego progu wykrywalności, jak można było się tego ponich spodziewać. Oczywiście nawiązujemy doMalwarebytes Anti-Malware wwersji bezpłatnej jako skanera nażądanie orazdoComodo Cleaning Essentials —chociaż wprzypadku Comodo, jest tonadal bardzo użyteczne narzędzie doweryfikowania bezpieczeństwa komputerów, zktóregoczęsto korzystamy.
Jeżeli uważacie, żewasze urządzenia powinny zostać przeskanowane podkątem złośliwego oprogramowania, wykorzystajcie dotego tenarzędzia:
Best+++: Emsisoft Emergency Kit, Trend Micro HouseCall, Arcabit Skaner Online iESET Online Scanner.
Best++: Kaspersky Virus Removal Tool, Dr.Web CureIt!, Sophos Clean iPanda Cloud Cleaner.
Pełny raport PDF wjęzyku polskim lub angielskim.
