11 ответов в этой теме

[Никитa]

В Превентивной защите Dr.Web есть функция блокировки низкоуровневого доступа к диску (иными словами, блокировка доступа к MBR). Когда какие-то, к примеру, MBR-киллеры пытаются уничтожить MBR, Dr.Web блокирует эту операцию, но при этом не перемещает саму потенциально вредоносную программу в карантин как какой-нибудь "DPH:Trojan.KillMBR". Почему? 

Сообщение было изменено Никитa: 27 Июнь 2023 - 16:44

[Dmitry_rus]

Потому что задача превентивной защиты - разрешить/запретить/спросить (в зависимости от настроек), а не заниматься детектом.

[Никитa]

Потому что задача превентивной защиты - разрешить/запретить/спросить (в зависимости от настроек), а не заниматься детектом.

В таком случае, почему при попытке неизвестных вредоносных приложений изменить целостность других приложений эта операция не просто блокируется, а сама программа, пытавшаяся это сделать, помещается в карантин? Ведь "Целостность запущенных приложений" тоже находится в Превентивной защите (а если быть точнее, то в "Поведенченском анализе"). Как мне кажется, если бы Dr.Web детектировал проактивно такие MBR-киллеры, то было бы очень неплохо.

[Dmitry_rus]

Если приложение детектится (антивирусным движком, а не превентивной защитой) как вредоносное - оно отправляется в карантин. Если детекта нет - то действие разрешается/запрещается/спрашивается, и всё.

[maxic]

Потому что задача превентивной защиты - разрешить/запретить/спросить (в зависимости от настроек), а не заниматься детектом.

Есть детекты и карантин именно превентивкой. И давно.

[Konstantin Yudin]

В Превентивной защите Dr.Web есть функция блокировки низкоуровневого доступа к диску (иными словами, блокировка доступа к MBR). Когда какие-то, к примеру, MBR-киллеры пытаются уничтожить MBR, Dr.Web блокирует эту операцию, но при этом не перемещает саму потенциально вредоносную программу в карантин как какой-нибудь "DPH:Trojan.KillMBR". Почему?

не совсем так. если пытаются писать заведо вредоносное, то инициатор отправялется в морг или убивается в зависимости от критериев. префикс детекта DDD:xxx

Сообщение было изменено Konstantin Yudin: 28 Июнь 2023 - 12:54

[Konstantin Yudin]

превентивка состоит из тупого хипса, и поведенческого движка. первый только блокирует доступ к модификации чего то важного, второй отслеживает поведение учитывая в том числе и хипс алерты, и применяет действия в плоть до уничтожения если это поведение заведомо не легитимное.

В Превентивной защите Dr.Web есть функция блокировки низкоуровневого доступа к диску (иными словами, блокировка доступа к MBR). Когда какие-то, к примеру, MBR-киллеры пытаются уничтожить MBR, Dr.Web блокирует эту операцию, но при этом не перемещает саму потенциально вредоносную программу в карантин как какой-нибудь "DPH:Trojan.KillMBR". Почему?

не совсем так. если пытаются писать заведо вредоносное, то инициатор отправялется в морг или убивается в зависимости от критериев. префикс детекта DDD:xxx

аналогично и с реестрои и другими источниками

Сообщение было изменено Konstantin Yudin: 28 Июнь 2023 - 12:56

[Dmitry_rus]

префикс детекта DDD:xxx

...А в документации об этом уже есть? Еще год назад спрашивали.

https://forum.drweb.com/index.php?showtopic=335805

[Petrovic]

превентивка состоит из тупого хипса

 

тупее не куда

семпл

hxxps://twitter.com/petrovic082/status/1674303336336576512

 

Spoiler

 

цп у инсталлера катаны аж от 27 июня прошлого года

так и не обновляют ничего

[Alexander007]

Тикет этого сэмпл не попали в базу : 10874270.

[Dmitry_rus]

Alexander007, так Катана, вроде, позиционируется как несигнатурный антивирус... Ему ваши базы без надобности.

[Alexander007]

Alexander007, так Катана, вроде, позиционируется как несигнатурный антивирус... Ему ваши базы без надобности.

Я, думаю Катана требует активное соединение - может быть ( идет речь о Dr.Web Cloud ) , но в облако и так не поступили :

 

msedge_3aCEnBrVrK.png ~ pixeldrain - считает белым , но не отреагировал на угрозу,  если бы среагировали как угрозу DrWeb:Heur.Ransom/MBR ( пример название угрозы) - как там разработчики назовет угрозы ( мне не известно ) .

 

И, Dr.Web Security Space - тоже не реагирует на эту угрозы.

Сообщение было изменено Alexander007: 29 Июнь 2023 - 15:36