Virus Info Testing, hat für 10/2007 folgendes ermittelt Einstellungen

[maxos]

Also die Russen kämen zu diesen Ergebnissen:

http://virusinfo.info/index.php?page=testseng

Die Details sind z.b. hinsichtlich der Erkennungsart richtungsweisend:
Signaturen : rot
Heuristik: orange


Der Beitrag wurde von maxos bearbeitet: 19.11.2007, 11:46

[v00d00]

http://virusinfo.info/index.php?page=testseng

Die Details sind z.b. hinsichtlich der Erkennungsart richtungsweisend:
Signaturen : rot
Heuristik: orange

Sehr anschaungsvoll.
Wie könnte es aber in der Praxis ausschauen?

Ich habe einen kurzen Test gemacht. Da ich kein Experte bin könnte ein jeder meinen Test wiederholen um sich selber zu überzeugen.

Ich habe einen uralten Rootkit (Fu.exe) bei Jottis hochgeladen.
Fast alle AVs haben es brav erkannt.
Dann habe ich es mit Armadillo gepackt. Dauerte 1 Minute. Habe es wieder bei Jottis hochgeladen und kaum einer hat es mehr erkannt.
Mit Hex-Editor und Compiler können nicht sooo viele umgehen aber ein File zu packen kann fast ein jeder.
Dann habe ich AntiVir downgeladet da es überall so gut abschneidet.
Alte Samples die AntiVir ansonsten erkennt habe ich mit einem trivialen Packer (ASPack) komprimiert. Das Ergebnis, sie wurden nicht mehr erkannt.

Fazit: Signaturen sind bei Weitem nicht alles.
Eine solide Unpack-Engine gehört auch dazu. Darüber aber schweigen die meisten aus gutem Grund. Die Anzahl der AVs mit einer brauchbaren Unpack-Engine ist nämlich erschreckend klein.
Man braucht keine Unpack-Engine um Testsieger zu werden oder bei VB die 100% zu erhalten aber ein unerfahrener User der sich auf so ein Produkt verlässt kann sehr leicht und schnell böse Überraschungen erleben.

MfG
v00d00

Der Beitrag wurde von v00d00 bearbeitet: 25.12.2007, 13:15