Returnil Free Test, Virtualisieren gegen Viren Einstellungen

[subset]

Hi,

ein kleiner Test mit dem kostenlosen Virtualisierungsprogramm Returnil Virtual System Personal Edition 2.0.0.5011.
http://www.returnilvirtualsystem.com/rvspersonal.htm

Getestet habe ich mit einem System mit einer Festplatte und einer Partition, da Returnil aktuell nur die Systempartition virtualisiert.
Returnil war anfangs als einziges Schutzprogramm im echten System installiert, die Internetverbindung war getrennt.

Als Testmenü gab es schwer verdauliche Kost: KillMBR, Vundo, Phide, Bagle, Rustock usw.



Als nächstes habe ich den Sitzungsschutz von Returnil aktiviert.
Anschließend als Infektionszähler Avira in das virtualisierte System installiert und alles auf "Ignorieren" gestellt.

Dann die 12 Schadprogramme nacheinander gestartet.
Avira kam insgesamt auf 43 Malware Funde.



Danach wurde es schwierig. Eigentlich wollte ich das infizierte System scannen, um den Schaden zu dokumentieren.
Aber sobald ein Programm installiert war oder ein Scan startete, wurde kurz danach das System heruntergefahren.
Versucht habe ich es insgesamt viermal, mit dem AVP Tool, CureIt, Avira Premium und KAV 2009.
Jedes Mal das durch Returnil geschützte System erneut verseucht, zu Scannen versucht und... Neustart.
Vielleicht war das Bagle Dings schuld, vielleicht ein anders Dings, jedenfalls waren die "SuperAVs" allesamt vollkommen nutzlos.

Also habe ich das aufgegeben und das echte System nach den ganzen Verseuchungen gescannt.

Zuerst mit CureIt, das hat nix gefunden.
Also mit der Ausnahme, dass es das Sysinternals Tool PsKill bemängelt...



Danach KAV 2009 im echten System installiert, hat aber auch nix gefunden.



Resümee:
- Returnil hat den Test mühelos mehrmals bestanden.
- Zu den restlichen "Schutzprogrammen" erspare ich mir lieber einen Kommentar.

MfG

[subset]

Hi,

jetzt geht es mit der Fortsetzung weiter - Sandboxing gegen Viren.

Die Schadprogramme bleiben die gleichen, nur kommt jetzt Sandboxie statt Returnil zum Einsatz.



Das war einfacher zu Testen, da sich alles auf die Sandbox begrenzt abspielte.
Eine Momentaufnahme, was zum Zeitpunkt des Screenshots gerade alles in der Sandbox lief.



Nachdem alle 12 ausgeführt waren, habe ich den Sandbox Ordner mit KAV gescannt.
Einige Meldungsfenster davon sind hier als GIF zusammengefasst.



Nachdem ich mit Sandboxie alle Programme, die in der Sandbox liefen, beendete und die Sandbox gelöscht habe, habe ich KAV deinstalliert und nach einem Neustart Avira Premium installiert und die Festplatte gescannt.



Mit dem gleichen Ergebnis wie schon zuvor beim Returnil Test.
Gefunden wurde nichts.

Wenn ich mich zwischen Sandboxie oder Returnil entscheiden müsste, würde ich beide nehmen.

Zum Keylogger Thema möchte ich zu bedenken geben, dass die meisten mit oder ohne Returnil dagegen nicht geschützt sind, da den meistens verwendeten Programmen (Suiten) sämtliche technischen Voraussetzungen zur Erkennung von Keyloggern fehlen (abgesehen von der signaturbasierenden Erkennung).
Welche Suiten oder AVs, um die sich hier ständig alles dreht, können einen Hook based oder gar Kernel based Keylogger am Verhalten erkennen?

MfG

[Julian]

Welche Suiten oder AVs, um die sich hier ständig alles dreht, können einen Hook based oder gar Kernel based Keylogger am Verhalten erkennen?

Zumindest unter XP32: NIS & KIS, die ja nicht gerade selten verwendet werden...

IMO ist Sandboxing zu unkomfortabel und der Nutzen mit einem halbwegs sicheren Browser zu gering. Ich kenne niemanden, der Firefox benutzt und schon mal Opfer eines Exploits wurde.

Der Beitrag wurde von Julian bearbeitet: 28.12.2008, 14:56