Returnil Free Test, Virtualisieren gegen Viren Einstellungen

[subset]

Hi,

ein kleiner Test mit dem kostenlosen Virtualisierungsprogramm Returnil Virtual System Personal Edition 2.0.0.5011.
http://www.returnilvirtualsystem.com/rvspersonal.htm

Getestet habe ich mit einem System mit einer Festplatte und einer Partition, da Returnil aktuell nur die Systempartition virtualisiert.
Returnil war anfangs als einziges Schutzprogramm im echten System installiert, die Internetverbindung war getrennt.

Als Testmenü gab es schwer verdauliche Kost: KillMBR, Vundo, Phide, Bagle, Rustock usw.



Als nächstes habe ich den Sitzungsschutz von Returnil aktiviert.
Anschließend als Infektionszähler Avira in das virtualisierte System installiert und alles auf "Ignorieren" gestellt.

Dann die 12 Schadprogramme nacheinander gestartet.
Avira kam insgesamt auf 43 Malware Funde.



Danach wurde es schwierig. Eigentlich wollte ich das infizierte System scannen, um den Schaden zu dokumentieren.
Aber sobald ein Programm installiert war oder ein Scan startete, wurde kurz danach das System heruntergefahren.
Versucht habe ich es insgesamt viermal, mit dem AVP Tool, CureIt, Avira Premium und KAV 2009.
Jedes Mal das durch Returnil geschützte System erneut verseucht, zu Scannen versucht und... Neustart.
Vielleicht war das Bagle Dings schuld, vielleicht ein anders Dings, jedenfalls waren die "SuperAVs" allesamt vollkommen nutzlos.

Also habe ich das aufgegeben und das echte System nach den ganzen Verseuchungen gescannt.

Zuerst mit CureIt, das hat nix gefunden.
Also mit der Ausnahme, dass es das Sysinternals Tool PsKill bemängelt...



Danach KAV 2009 im echten System installiert, hat aber auch nix gefunden.



Resümee:
- Returnil hat den Test mühelos mehrmals bestanden.
- Zu den restlichen "Schutzprogrammen" erspare ich mir lieber einen Kommentar.

MfG

[Gast_Nightwatch_*]

Da muss ich jetzt noch einmal etwas nachfragen. Denn entweder verstehe ich bei der Funktionsweise der Virtualisierungsprogramme etwas falsch, oder du bist sehr mutig/risikofreudig.

[...]

Das leuchtet mir ein für jene Art von Malware, die "nur" auf der Festplatte selbst schaden anrichtet (bzw. anrichten würde, wenn sie nicht in einem virtuellen System isoliert wäre), aber keinen Kontakt "nach außen" sucht.
Aber wie schützt du dich gegen jene Art von Schädlingen, die Oldi in seinen Posting beschrieben hat?

Hi Peter

Ok. Jetzt hab ich den Punkt verstanden. Danke für Deine Geduld!
Das stimmt natürlich. Gegen diesen Datenklau gibt´s eigentlich nur zwei Mittel und Wege...entweder man hat noch ein zusätzliches AV-Programm parat, welches den Schädling evtl. abfängt, oder aber man arbeitet mit eingeschränkten Rechten. Sonst ist das in der Tat ein riskantes Problem.
Bei mir gibt´s zwar auf meinem "Surf-Rechner" nichts wichtiges zu stehlen, aber auf einem Geschäfts-PC sieht das wohl schon anders aus. Aber wenn ich ein Sample zum Test ausführe, weiß ich ja in der Regel vorher, worauf ich mich einlasse. Etwas risikofreudig ist das Ganze sicherlich schon .

Hast du Returnil (und/oder Shadow Defender) so konfiguriert, dass dieses Risiko (also Keylogger etc.) derartig gering ist, dass man es vernachlässigen kann (so wie das zB. bei Sandboxie durch entsprechende Einstellungen möglich ist)? Oder gibt es eine solche Konfigurationsmöglichkeit gar nicht, und begnügst du dich insofern mit dem Schutz, den dein herkömmliches Virenschutzprogramm bietet?

Ich habe Returnil leider schon länger nicht mehr getestet. Was ShadowDefender anbelangt, so gibt es diesbezüglich keine entsprechenden Konfigurationsmöglichkeiten. Ist ja auch schwer. Entweder es kommt mit einer eigenständigen Erkennung daher, oder einer Hips-ähnlichen Technologie. Fein wäre aber z.B., wenn es die Option gäbe, dass bestimmte Ordner und Zielverzeichnisse während der Virtualisierung auch innerhalb der Virtualisierung nicht zur Verfügung stünden. Dann wäre die Sache klarer und wesentlich sicherer.

SD ist jedenfalls bei mir schon länger nicht mehr im produktiven Einsatz. Wenn ich sehe, dass ein Sample durchrutscht beginne ich auch meist zügig mit dem Neustart. Ansonsten ist Dein berechtigter Einwand mit der Internet-Verbindung nochmal eine wichtige Gedächtnisstütze und Anregung für mich, die ich nicht ganz außer Acht lassen sollte.

Btw. Gedächtnis: Hatte irgendwie noch im Kopf, dass wir schon einmal eine ähnliche Diskussion geführt haben und bin nach der Board-Suche darüber "gestolpert":
http://www.rokop-security.de/index.php?sho...=shadowdefender

Wie auch hier sehr interessant (nicht ironisch gemeint, sondern ernsthaft)

Gruß,
Nightwatch

Der Beitrag wurde von Nightwatch bearbeitet: 28.12.2008, 00:24

[Peter 123]

Nochmals kurz ich.

@ Nightwatch:
Danke für deine ausführliche Antwort.

Was das betrifft:

Btw. Gedächtnis: Hatte irgendwie noch im Kopf, dass wir schon einmal eine ähnliche Diskussion geführt haben und bin nach der Board-Suche darüber "gestolpert":
http://www.rokop-security.de/index.php?sho...=shadowdefender

In der Tat! Das war mir nicht mehr in Erinnerung.
Aber dieser neue Thread hier war eine gute Gelegenheit, noch einmal diese grundsätzlichen Fragen zu erörtern.

Zu subset's Präferenzen:

Wenn ich mich zwischen Sandboxie oder Returnil entscheiden müsste, würde ich beide nehmen.

Das war zu erwarten.

Der Beitrag wurde von Peter 123 bearbeitet: 28.12.2008, 01:59