मूल एंटीवायरस परीक्षण

इस मिनी लेख में, मैं हस्ताक्षर द्वारा एंटीवायरस कार्य की कुछ विशेषताओं पर कुछ प्रकाश डालूंगा, और यह भी बताऊंगा कि सॉफ्टवेयर के रचनाकारों को पैकर्स चुनने के प्रश्न पर सावधानीपूर्वक संपर्क करने की आवश्यकता है यदि वे अपने और अपने कार्यक्रम की प्रतिष्ठा को भिगोना नहीं चाहते हैं।

कुछ दिन पहले, खुद की योजना के बिना, मैंने एक दिलचस्प एंटीवायरस परीक्षण किया। यह सब इस तथ्य के साथ शुरू हुआ कि मैं, अपने ड्राइव के खोए हुए फ़ोल्डरों से भटकते हुए, ट्रोजन के एक जोड़े में आया। एक बार (2004 में वापस) मैं पहले से ही एक एंटीवायरस टेस्ट चला रहा था । वहां आप मेरे पोस्ट और अन्य उपयोगकर्ताओं के पोस्ट में चेक के परिणाम देख सकते हैं। फिर मैंने कुछ ट्रोजन और कई कार्यक्रमों को लिया जो बाइनरी को संशोधित करते हैं (विभिन्न पैकर्स और अन्य सॉफ़्टवेयर, एक पूर्ण सूची अंत में दी गई है)। इसलिए मुझे यह देखने का विचार मिला: 7 साल बाद क्या नाम दिया गया था?

दुर्भाग्य से, मेरे पास प्रारंभिक परीक्षण नहीं था। केवल इसके कुछ हिस्से। लेकिन यह प्रयोग और कुछ निष्कर्षों के लिए पर्याप्त था। Www.virtest.com पर टेस्ट आयोजित किए गए। यह सिद्धांत रूप में, तिथि करने के लिए परिणामों की प्रासंगिकता की गारंटी चाहिए।

पहली खोज मेरा इंतजार कर रही थी जब मैंने डीटीआर ट्रोजन को उसके मूल रूप में जांचा। मूल ट्रोजन फ़ाइल UPX द्वारा पैक की गई है। स्कैन परिणाम: 41 एंटीवायरस में से केवल 2 (ईट्रस्ट और एवीएल) इसे निर्धारित नहीं कर सके । फिर मैंने उसी ट्रोजन (डेवलपर द्वारा आपूर्ति की गई) की अनपैक्ड फ़ाइल को चेक किया। इस बार, 41 में से केवल 31 ने उसे पकड़ा। एक वाजिब सवाल यह उठता है कि तब एंटीवायरस प्रयोगशालाएँ नमूनों में क्या जोड़ती हैं, अगर इतने सरल तरीके से आप उनके आसपास पहुँच सकते हैं? उदाहरण के लिए, यूपीएक्स अनपैकर्स का एक गुच्छा है।

फिर मैंने एक ही दाढ़ी वाले 2004 के विभिन्न पैकर्स और अन्य कार्यक्रमों द्वारा संसाधित पिंच ट्रोजन का परीक्षण किया। इसका परिणाम यह है (एंटीवायरस की संख्या जो वायरस को एंटीवायरस की कुल संख्या में मिला है):

• 24/41
• 29/41
• 26/41
• 33/41

एंटीवायरस की कुछ प्रतिक्रियाओं का अध्ययन करने के बाद, मैं इस निष्कर्ष पर पहुंचा कि उन्होंने ट्रोजन के हस्ताक्षर की तुलना में पैकर्स के उपयोग पर अधिक शाप दिया था। उदाहरण के लिए, यहां प्रविष्टि है:
ClamWin Pinch_1.exe PUA.Packed.ASPack
या यहाँ:
Webroot Pinch.exe Sus/UnkPacker
मैं अनपैक और शपथ नहीं ले सकता था।

मुझे याद आया कि पिंच एक fsg पैकर के साथ आया था। मुझे यह भी याद है कि कैसे एक सेमिनार में एक VBA32 प्रतिनिधि ने कहा कि कुछ मामलों में डेटाबेस में एक पैकर जोड़ा जाता है - अगर यह विश्वास है कि पैकर व्यापक नहीं है और वायरस हस्ताक्षर को छिपाने के लिए सटीक रूप से उपयोग किया जाता है। वायरस विश्लेषक के अनुसार, ऐसे पैकर्स अक्सर वायरस लेखकों द्वारा स्वयं लिखे जाते हैं। खैर, कुछ सच्चाई है। खासकर अगर आपको याद है कि कैसे विभिन्न "क्रिप्टोकरंसी फाइल मैनेजर" हुआ करते थे।

मेरा अगला प्रयोग: एक हानिरहित कार्यक्रम लें और इसे विभिन्न पैकर्स के साथ संसाधित करने का प्रयास करें। एक "पीड़ित" के रूप में मैंने जो ArpBuilder लिखा था उसे मैंने चुना।

परिणाम:

1. उपयोग पर PeCompact ने ClamWin को शपथ दिलाई।
2. एफएसजी के आवेदन पर 24 एंटीवायरस ने डांटा।

इस संबंध में, मैं प्रोग्रामर को पैकर्स द्वारा प्रसंस्करण के बाद उनके "दिमाग की उपज" की जांच करने की सलाह देता हूं। अन्यथा, यह आपके सॉफ़्टवेयर की प्रतिष्ठा को धूमिल कर सकता है, और आपको लंबे समय तक समझाना होगा कि "गलतफहमी हुई है।" मेरी टिप्पणियों के अनुसार, यूपीएक्स का उपयोग करने से ऐसी समस्याएं पैदा नहीं होती हैं।

उन लोगों के लिए जो अपने समान प्रयोगों का संचालन करना चाहते हैं, मैं उपयोग किए गए कार्यक्रमों को सूचीबद्ध करता हूं (2004 के बाद साइटों पर कुछ सॉफ़्टवेयर अपडेट किए गए थे):

1. एवक्स! AVSpoffer
2. डॉटफिक्स नकली हस्ताक्षरकर्ता
3. fsg
4. HidePE, StealthPE
5. PECompact
6. पे-patcher