88 ответов в этой теме

[RinoMir]

я не говорил что плох, речь о том что платник для китайцев, с другим облаком и более сильным детектом, а международная версия другая, где-то на comms была информация.

 

 

Там, кстати, в ветке 360 обсуждение Доктора идет опять. И опять подняли проблему плохого детекта рансомов. Очередной беглец пытается сбежать с Доктора . Хотелось бы, что бы модератор или разработчики прокоментировали эту проблему Доктора, так как она упоминается не первый раз и человек кидал тесты, где демонстрировал это. P.S: Скриншот отправить не дает, так что процитирую сообщение с критикой Доктора "Отсутствует отслеживание изменения файлов с пользовательскими расширениями. То есть, там, как раз, и никакая защита от 0-days ransomware. Уже разбирали здесь, в обсуждении позапрошлого тестирования."

Сообщение было изменено RinoMir: 17 Ноябрь 2025 - 21:45

[VVS]

Там, кстати, в ветке 360 обсуждение Доктора идет опять. И опять подняли проблему плохого детекта рансомов. Очередной беглец пытается сбежать с Доктора . Хотелось бы, что бы модератор или разработчики прокоментировали эту проблему Доктора, так как она упоминается не первый раз и человек кидал тесты, где демонстрировал это. P.S: Скриншот отправить не дает, так что процитирую сообщение с критикой Доктора "Отсутствует отслеживание изменения файлов с пользовательскими расширениями. То есть, там, как раз, и никакая защита от 0-days ransomware. Уже разбирали здесь, в обсуждении позапрошлого тестирования."

Чушь какая-то...

Нет вообще никакой привязки к расширениям файлов.

[vladimir_murm]

Чушь какая-то...
Нет вообще никакой привязки к расширениям файлов.

 
я то же не понял что хотел сказать человек -какой-то троллинг и фраза вырванная из контекста, притом бессмысленная.

Шифровальщики определяются помимо наличия в базе и сигнатурам, на горячую во время исполнения:
по поведенческим алгоритмам,  анализу файловых операций и потоков, функций Api который такой софт вызывает и другим критериям при анализе файла, у каждого вендора свой набор признаков - обычно похожий но разные названия: какие именно, описано в общих чертах и без ненужных деталей, в документации Доктора:



Это сложные алгоритмы, ML, и в целом серьёзное программирование.
И реакция многих вендоров АВ на активное шифрование может быть с паузой, или никакой, если попалось что-то новое.  А учитывая что в ransomware может быть ассиметричное шифрование для ключей, восстановить данные бывает в большинстве случаев, не реальной задачей.

p.s Кстати документация у Доктора, одна из лучших что я встречал на рынке, профессиональный подход, для технарей в IT и опытных пользователей, самое то.

 

На ruboard форуме, ветка тестирования антивирусов: кто-то ляпнул в топике, что Доктор: цитирую, не мои слова: "продукт без современных технологий".  я чуть от смеха со стула не упал   ,вот это хохма))

Сообщение было изменено vladimir_murm: 18 Ноябрь 2025 - 10:49

[VVS]

 

Чушь какая-то...
Нет вообще никакой привязки к расширениям файлов.

 
я то же не понял что хотел сказать человек -какой-то троллинг и фраза вырванная из контекста, притом бессмысленная.

Если я правильно понял процитированную фразу, то это IMHO как раз подтверждает сказанное мной про тесты ранее - либо безграмотно проведённый тест, либо подгонка результатов теста под заранее определённый результат.

И, как я опять же писал, с рекламной точки зрения очень жаль, что доктор не участвует в подобных тестах - тут можно было бы устроить громкий рекламный скандал, обвинив такого "тестера" в безграмотности и/или ангажированности.

[RinoMir]

Нет вообще никакой привязки к расширениям файлов.

Ну то есть человек прав получается. У вас нет защиты файлов с пользовательскими расширениями? 

Чушь какая-то...

По моему человек имеет ввиду, что если нет возможности отслеживать изменения файлов с пользовательскими расширениями, то ransomware 0-day, который шифрует нестандартные форматы, антивирус не замечает. 

[RinoMir]

по поведенческим алгоритмам,  анализу файловых операций и потоков, функций Api который такой софт вызывает и другим критериям при анализе файла, у каждого вендора свой набор признаков - обычно похожий но разные названия: какие именно, описано в общих чертах и без ненужных деталей, в документации Доктора:

Ну да, есть поведенческий анализ у антивируса, но срабатывает он не всегда. Особенно против 0-day. Если антивирус не контролирует изменения пользовательских расширений, то он автоматически не видит шифрование нетипичных файлов. 

[RinoMir]

тут можно было бы устроить громкий рекламный скандал, обвинив такого "тестера" в безграмотности и/или ангажированности.

 Было бы не плохо, что бы разработчики/маркетологи Доктора провели свой тест) А то что не посмотри, везде не очень. Что на у наших тестров, что у иностранных ( https://malwaretips.com/threads/dr-web-security-space-2024.132953/) из раза в раз.                                                   

Сообщение было изменено RinoMir: 18 Ноябрь 2025 - 13:28

[maxic]

RinoMir, вам уже сказали выше, что антивирус не полагается на расширение файла, но на его содержимое.

[VVS]

Нет вообще никакой привязки к расширениям файлов.

Ну то есть человек прав получается. У вас нет защиты файлов с пользовательскими расширениями?

Что такое пользовательские расширения???   
Я так понял, что пользователь создаёт какие-то файлы со своим расширением и хочет, чтобы они как-то по особенному защищались.
От расширений ничего не зависит, все файлы защищаются от шифрования, независимо от расширений.
 

Чушь какая-то...

По моему человек имеет ввиду, что если нет возможности отслеживать изменения файлов с пользовательскими расширениями, то ransomware 0-day, который шифрует нестандартные форматы, антивирус не замечает.

Доктору всё равно, какие у файлов расширения, он защищает все файлы.

[VVS]

тут можно было бы устроить громкий рекламный скандал, обвинив такого "тестера" в безграмотности и/или ангажированности.

 Было бы не плохо, что бы разработчики/маркетологи Доктора провели свой тест)

Я бы был только за, но маркетологи живут в своём мире и здесь не появляются, а разработчикам этот вопрос фиолетов - они работу работают.

[vladimir_murm]

Было бы не плохо, что бы разработчики/маркетологи Доктора провели свой тест) А то что не посмотри, везде не очень. Что на у наших тестров, что у иностранных

Компания не предлагает свой тест, и методики от производителя я не слышал - как минимум в сегменте Security space и обычных пользователей, да и зачем, вероятность ангажированности будет высокой.     

 

По видео с тестированием сабжа: это уже похоже на "что-то", а не как у Ностромо: указано время тестирования, настройки - хотя бы частично. Плохо то что версия продукта годичной давности, и судить по ней об актуальном состоянии дел - уже нельзя. 

Тестирование вредоносных ссылок в браузере - включая детекты облаком, "натравливание" скриптов + локальный запуск малвари из папки, не ясно только окружение Ос, версия и номер билда(какие патчи), и её настройки безопасности, групповые политики, Credential Guard и прочее, хотя бы 5-10 самых важных моментов.

Превентивка в "оптимальном", не лучший вариант, для запуска всех подряд семплов и тем более вот так. 

  "Параноидальный" профиль в превентивной, настроенный брандмауэр с neт фильтром, и Guard в параноидальном с проверкой контейнеров , всё это сделал бы конечный результат лучше, 100%. 

А так по KVRT - 10 объектов, из них 1 на горячую в памяти, и удаленное администрирование - скомпрометировано конечно, хоть и система визуально целая и рабочая, всё равно что надо утекло в сеть, и Пк не пригоден без лечения и тщательной ревизии к дальнейшей безопасной работе.    

 

 

[RinoMir]

 

 

тут можно было бы устроить громкий рекламный скандал, обвинив такого "тестера" в безграмотности и/или ангажированности.

 Было бы не плохо, что бы разработчики/маркетологи Доктора провели свой тест)

 

Я бы был только за, но маркетологи живут в своём мире и здесь не появляются, а разработчикам этот вопрос фиолетов - они работу работают.

 

Все таки я не понимаю Ваши претензии к тестам. У comss хоть и не все идеально, но там все еще можно посмотреть, как антивирус справится против не известных ему угроз. Вот глянул я счас последний тест. Да, произошла пошифрока некоторых файлов, но антивирус остановил шифровальщик и дал зашифровать компьютер, но при этом не среагировал достаточно быстро. И это уже наблюдается не в первый раз. Так же не мешало бы добавить откат изменений действия шифровальщика, как у конкурентов, у которых эта функция есть уже очень давно. 
 

[RinoMir]

А так по KVRT - 10 объектов, из них 1 на горячую в памяти, и удаленное администрирование - скомпрометировано конечно, хоть и система визуально целая и рабочая, всё равно что надо утекло в сеть, и Пк не пригоден без лечения и тщательной ревизии к дальнейшей безопасной работе.

Там человек превентивку не выставил нормально. Мне нравится Доктор тем, что если некоторые настройки в превентивке подкрутить + брандмауэр и он станет не пробиваемым практически. Даже не смотря на проблему со скоростью детекта. Так же у человека в том тесте не был установлен брандмауэр, который 100% необходим по моему. У comss с этим тоже есть проблемы, потому что он как глупый ребенок жал "Разрешить" на каждый запрос. Я понимаю, что обычный пользователь не будет со всем этим заморачиваться, но все же... Пожалуй все таки соглашусь с VVS. Нормальных тестов, где все настроили как надо, нет практически. Хоть сам виртуальную машину и тестируй   

[VVS]

тут можно было бы устроить громкий рекламный скандал, обвинив такого "тестера" в безграмотности и/или ангажированности.

 Было бы не плохо, что бы разработчики/маркетологи Доктора провели свой тест)

Я бы был только за, но маркетологи живут в своём мире и здесь не появляются, а разработчикам этот вопрос фиолетов - они работу работают.

Все таки я не понимаю Ваши претензии к тестам.

Претензия глобального плана - нет никакой общепризнанной методики тестирования.
Поймите, если хорошо знать какой-то AV, то всегда можно сконструировать тест, который будет выглядеть безупречно с внешней стороны, но обеспечит провальные результаты для этого AV.
Обратное тоже верно, всегда можно сконструировать тест, который покажет этот AV с лучшей стороны.
И я не вижу никакого выхода из этой ситуации, поэтому и отношусь скептически ко всем тестам.
 
PS
Вышесказанное ни в коей мере не отрицает моё твёрдое убеждение, что в тестах участвовать необходимо с рекламной точки зрения.

Сообщение было изменено VVS: 18 Ноябрь 2025 - 15:49

[vladimir_murm]

Если антивирус не контролирует изменения пользовательских расширений, то он автоматически не видит шифрование нетипичных файлов.

 

Откуда вам это известно?, в документации написаны общие критерии при оценке вредоносности файла, + описание по которому понятно, что работают  у продукта поведенческие алгоритмы и ML. 

Как "ты" отличишь по для шифрования, самописное например или легитимное не вредоносное, от ransomware, с похожими вызовами api и файловыми операциями?, без наличия данных в базах о семпле, облаке, белых списках по этому софту?. Только по другим признакам, более свойственным именно малваре. Но тут уже может быть и ложное срабатывание - легко.

По поводу расширений файлов:

Вот для Guard в "параноидальном"
 

В данном режиме при любом обращении (создании, чтении, записи, запуске) производится проверка всех файлов и загрузочных секторов на жестких и сетевых дисках, а также на съемных носителях.

Данный режим обеспечивает максимальный уровень защиты, но значительно увеличивает нагрузку на компьютер. 

 

Не проверяет по умолчанию только контейнеры  - это то же включить можно, но всё вместе будет ощутимо, да же на мощных Пк.

 

Сканер по умолчанию проверяет контейнеры, архивы и почтовики, исключение профиль "Быстрая" , без архивов/почтовых.

В деталях знают только разработчики, что и как работает, но это коммерческая тайна, т.к вирусописатели не дремлют в том числе, и нет никакой гарантии, что нет тут людей на форуме, которые изучают продукт в целях обхода его защиты и лучшего сокрытия детекта, а не просто праздного технического интереса.

Основания у меня есть так думать, с учётом тех семплов что я заливал в лабу, и информации откуда я их взял и при каких обстоятельствах. 

[RinoMir]

 

Если антивирус не контролирует изменения пользовательских расширений, то он автоматически не видит шифрование нетипичных файлов.

 

Откуда вам это известно?, в документации написаны общие критерии при оценке вредоносности файла, + описание по которому понятно, что работают  у продукта поведенческие алгоритмы и ML. 

Как "ты" отличишь по для шифрования, самописное например или легитимное не вредоносное, от ransomware, с похожими вызовами api и файловыми операциями?, без наличия данных в базах о семпле, облаке, белых списках по этому софту?. Только по другим признакам, более свойственным именно малваре. Но тут уже может быть и ложное срабатывание - легко.

По поводу расширений файлов:

Вот для Guard в "параноидальном"
 

В данном режиме при любом обращении (создании, чтении, записи, запуске) производится проверка всех файлов и загрузочных секторов на жестких и сетевых дисках, а также на съемных носителях.

Данный режим обеспечивает максимальный уровень защиты, но значительно увеличивает нагрузку на компьютер. 

 

Не проверяет по умолчанию только контейнеры  - это то же включить можно, но всё вместе будет ощутимо, да же на мощных Пк.

 

Сканер по умолчанию проверяет контейнеры, архивы и почтовики, исключение профиль "Быстрая" , без архивов/почтовых.

В деталях знают только разработчики, что и как работает, но это коммерческая тайна, т.к вирусописатели не дремлют в том числе, и нет никакой гарантии, что нет тут людей на форуме, которые изучают продукт в целях обхода его защиты и лучшего сокрытия детекта, а не просто праздного технического интереса.

Основания у меня есть так думать, с учётом тех семплов что я заливал в лабу, и информации откуда я их взял и при каких обстоятельствах. 

 

Да, можно много о чем говорить. Но разработчики постоянно говорят, что вот песок нам не надо, всякие финтифлюшки не нужны, но зато добавили такую полезную и всем нужную функцию как блокировка URL по решению правообладателей. Ведь все о ней просили и все ей пользуются. 
 

[VVS]

Да, можно много о чем говорить. Но разработчики постоянно говорят, что вот песок нам не надо, всякие финтифлюшки не нужны, но зато добавили такую полезную и всем нужную функцию как блокировка URL по решению правообладателей. Ведь все о ней просили и все ей пользуются. 

Ну о чём с Вами спорить, если Вы даже не понимаете разницы между добавлением функции и добавлением категории блокировки?
 

[Зловред]

Меня уволили без каких-либо объяснений — просто сообщили об уходе и всё. Однако вскоре стало очевидно, что качество и объём тестирования резко снизились. Более того, последние независимые тесты показали провал Dr.Web в обнаружении угроз — и это неудивительно, ведь именно я отвечал за ключевые аспекты тестовой деятельности, включая выявление пропускаемых угроз, проверку превентивной защиты и внедрение улучшений, таких как песочница и мониторинг сложных атак.

 

 

 

Когда-то я помогал вирусной лаборатории Dr.Web — теперь же реальность показала, насколько быстро забывают тех, кто действительно вкладывался в защиту пользователей .

https://forum.drweb.com/index.php?showtopic=339304&p=922298

[VVS]

 

Меня уволили без каких-либо объяснений — просто сообщили об уходе и всё. Однако вскоре стало очевидно, что качество и объём тестирования резко снизились. Более того, последние независимые тесты показали провал Dr.Web в обнаружении угроз — и это неудивительно, ведь именно я отвечал за ключевые аспекты тестовой деятельности, включая выявление пропускаемых угроз, проверку превентивной защиты и внедрение улучшений, таких как песочница и мониторинг сложных атак.

 

 

 

Когда-то я помогал вирусной лаборатории Dr.Web — теперь же реальность показала, насколько быстро забывают тех, кто действительно вкладывался в защиту пользователей .

https://forum.drweb.com/index.php?showtopic=339304&p=922298

ЧСВ у пользователя зашкаливает.  

[Severnyj]

Если кого-то уволили без объяснений - попрошу скан трудовой книжки или уведомления о расторжении трудового контракта. Исключение из групп в телеграмме или понижение в статусе на форуме, как и попадание контактов в бан-листы увольнением ни по какому законодательству не считается. Заспамливание вирлаба со скоростью 2000 образцов в час тоже не является помощью вирусной лаборатории.