Тестирование KVRT 2020

[AlexeyK]

<p>@dmitry-vorontsov said in <a href="/post/11921" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>Мне кажется вы перегибаете. Пользователь сделал выбор. Какой смысл нам теперь дергать.</blockquote>
<p>Тогда уж не я перегибаю, а 15 версия перегибает. <img src="/plugins/nodebb-plugin-composer-kl/vendor/tinymce/plugins/emoticons/img/smiley-smile.gif" alt="smile" /> Я просто с ней сравнил, потому что не знаю точно, где баг, где as designed.</p>
<p>Только вот "Скопировать в карантин" - это не лечение, а просто копирование детектированных угроз, которые остаются на месте.</p>
<blockquote>
<p>Сканирование запускается в отдельном процессе без окна.</p>
</blockquote>
<p>Не запускается: процесс почти сразу выгружается и трейсы не растут, видео здесь: <a href="https://cloud.qainfo.ru/s/tYb7kuJ3I61VoOB" target="_blank" rel="noopener">https://cloud.qainfo.ru/s/tYb7kuJ3I61VoOB</a></p>
<hr />
<p>С остальным понятно, спасибо за комментарии.</p>

[Dmitry.Vorontsov]

<p>@alexeyk said in <a href="/post/11924" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>Не запускается: процесс почти сразу выгружается и трейсы не растут, видео здесь:</blockquote>
<p>Только сейчас понял, что для того чтобы процесс пошел требуется согласиться с EULA. Т.е. запускать следует минимум с двумя параметрами -silent -accepteula</p>

[AlexeyK]

<p>@dmitry-vorontsov said in <a href="/post/11923" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>Так это хорошо. Разве нет? Можно скачать CureIt и запустить сразу три сканирования</blockquote>
<p>Обратил внимание на это и сообщил. Просто запустить две 20-х или две 15-х версии тоже нельзя, а вот такой сценарий возможен. Если это ни на что особо не влияет - пропускаем.</p>
<p>А вот запускать сразу три утилиты... Если они будут сканировать одновременно один файл, то будет, наверное, битва.<img src="/plugins/nodebb-plugin-composer-kl/vendor/tinymce/plugins/emoticons/img/smiley-laughing.gif" alt="laughing" /></p>
<p>Кстати, предыдущий зловред теперь действительно не может выгрузить утилиту во время скана в обычном режиме. Отличная работа! <img src="/plugins/nodebb-plugin-composer-kl/vendor/tinymce/plugins/emoticons/img/smiley-smile.gif" alt="smile" /></p>

[AlexeyK]

<p>@dmitry-vorontsov said in <a href="/post/11927" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>запускать следует минимум с двумя параметрами -silent -accepteula</blockquote>
<p>Все понял, так работает. Спасибо!</p>

[Dmitry.Vorontsov]

<p>@angeldragon</p>
<p>Немного подправил работу программы для различных разрешений экрана. Посмотрите  как будет выглядеть на ваших устройствах. Окна не должны быть обрезанными.</p>

[AlexeyK]

<p>@dmitry-vorontsov said in <a href="/post/11922" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>Раз вы их добавили то они вошли в список включенных по умолчанию областей сканирования. Мне кажется так логичнее.  Можете аргументировать почему следует сделать иначе?</blockquote>
<p>Позвольте высказать мнение на этот счет. На мой взгляд, действия по умолчанию или, как написано в русском варианте, рекомендуемые действия, ассоциируются у пользователей с настройками, заданными разработчиками. Даже само название "рекомендуемые" это подразумевает. Никто же не рекомендовал включать в сканирование другие каталоги. Это как сброс до заводских настроек. Думаю, что доп. флажки при этом нужно снимать и отмечать только три верхних пункта - как при запуске программы.</p>

[ANGElDRAGON]

<p>@dmitry-vorontsov said in <a href="/post/11931" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>
<p>@angeldragon</p>
<p>Немного подправил работу программы для различных разрешений экрана. Посмотрите  как будет выглядеть на ваших устройствах. Окна не должны быть обрезанными.</p>
</blockquote>
<p><img src="https://c.radikal.ru/c11/2012/04/ae6ad44e1833.png" alt="" width="350" height="128" /></p>
<p>Если открыто окно "О программе", то нельзя нажать на кнопку "Начать проверку".</p>

[ANGElDRAGON]

<p>Запустил утилиту <a href="/post/11941" target="_blank" rel="noopener"><span><a href="https://devbuilds.s.kaspersky-labs.com/kvrt/beta/20.0.4.0/kvrt.exe" target="_blank" rel="noopener">https://devbuilds.s.kaspersky-labs.com/kvrt/beta/20.0.4.0/kvrt.exe</a> </span></a>, посмотрел настройки и закрыл ее.</p>
<p>Затем захотел удалить папку: C:\KVRT2020_Data , так ее удалить не получалось, все время сообщалась, что она занята каким-то процессом.</p>
<p>Выключил ПК. Включил его на другой день и повторил процедуру удаления папки, также писало что папка занята каким-то процессом.</p>
<p>В итоге пришлось перезагружать ПК и уже папка C:\KVRT2020_Data успешно удалилась.Ранее такого не было.</p>

[AlexeyK]

<p>Заметил такой момент при сканировании. Тестирование выполнялось на виртуальной системе, где ресурсы ограничены, поэтому точно не знаю, будет ли это актуальным в реальных условиях. Если требуется семпл - могу отправить.</p>
<p>При сканировании незараженной системы практически не меняется использование ЦП и скорость сканирования, когда окно KVRT в фокусе или не в фокусе/свернуто.</p>
<p>Если в системе активен зловред, который постоянно использует практически весь ресурс ЦП, то разница становится существенной: при сворачивании KVRT или фокусировке вместо него другого окна резко падает использование ЦП KVRT и скорость сканирования, а почти весь ресурс снова забирает вредоносный файл.</p>
<p>Видео (1 - чистая система, 2 - зараженная с активной малварью): <a href="https://cloud.qainfo.ru/s/Ss2JH0X5SJeCQ3M" target="_blank" rel="noopener">https://cloud.qainfo.ru/s/Ss2JH0X5SJeCQ3M</a></p>

[Dmitry.Vorontsov]

<p>@alexeyk said in <a href="/post/11996" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>Заметил такой момент при сканировании</blockquote>
<p>Это Windows балансирует нагрузку. Приоритет отдается процессу окно которого находиться в активном фокусе.</p>

[Dmitry.Vorontsov]

<p>@angeldragon said in <a href="/post/11958" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>Затем захотел удалить папку: C:\KVRT2020_Data , так ее удалить не получалось, все время сообщалась, что она занята каким-то процессом.</blockquote>
<p>Если проблема воспроизводиться, то хорошо бы посмотреть на логи утилиты procmon снятые в момент воспроизведения проблемы.</p>
<p>Самое вероятная причина в том, что Ваш штатный антивирус изучает файлы созданные нашей утилитой в каталоге KVRT2020_Data. </p>

[Dmitry.Vorontsov]

<p>@angeldragon said in <a href="/post/11941" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>Если открыто окно "О программе", то нельзя нажать на кнопку "Начать проверку".</blockquote>
<p>Обсудим.</p>

[Dmitry.Vorontsov]

<p>@alexeyk said in <a href="/post/11932" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>Позвольте высказать мнение на этот счет</blockquote>
<p>Мы обсудим. Возможно вы правы.</p>

[AlexeyK]

<p>@dmitry-vorontsov Спасибо за объяснение! Получается, что малварь вообще без окна отбирает ресурсы ЦП, при этом утилита лишается этих ресурсов по "милости" Windows. Странно, почему тогда не ограничивается потребление зловредом. Кстати, повышение приоритета KVRT через Process Explorer помогает, хоть и не так явно, как при активации окна.</p>
<p>Ну, раз тут ничего поделать нельзя, тогда пусть так и будет.<img src="/plugins/nodebb-plugin-composer-kl/vendor/tinymce/plugins/emoticons/img/smiley-smile.gif" alt="smile" /></p>

[AlexeyK]

<p>@dmitry-vorontsov said in <a href="/post/12001" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>Самое вероятная причина в том, что Ваш штатный антивирус изучает файлы созданные нашей утилитой в каталоге KVRT2020_Data. </blockquote>
<p>У меня и на предыдущей версии так было, папка не удаляется, пока не перезагрузишь систему. Причина, как я понимаю, в драйвере в папке Temp. После рестарта ОС он удаляется, тогда можно и папку удалить. Антивирус не играет роли, даже с отключенным то же самое.</p>
<p><img src="https://i2.imageban.ru/out/2020/12/28/868bdf00e18bf53e1f790c556c4ada77.png" alt="" width="294" height="158" /></p>

[Dmitry.Vorontsov]

<p>@alexeyk said in <a href="/post/12005" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>У меня и на предыдущей версии так было, папка не удаляется, пока не перезагрузишь систему. Причина, как я понимаю, в драйвере в папке Temp. После рестарта ОС он удаляется, тогда можно и папку удалить.</blockquote>
<p>Да, вы правы. На Windows 10 файл загруженного драйвера не может быть удален. Выключение компьютера обычно выполняет гибернацию системы, а не "честное" выключение. При выходе из гибернации все загруженные до гибернации драйвера остаются в памяти. Поэтому Вам не удалось удалить KVRT2020_Data после выключения. А вот перезагрузка - это "честное" выключение. </p>

[AlexeyK]

<p>@dmitry-vorontsov За время тестов на детектирование зловредов и лечение зараженной системы никаких проблем с работой KVRT обнаружено не было. Лечение с несколькими перезапусками выполняет, файлы детектирует, удаляет, лечит, восстановление из карантина работает, все действия выполняет согласно настройкам. Однако, после работы зловредов лечение может быть масштабным и длительным, что затрудняет полную оценку результата.</p>
<p>В связи с этим, может у Вас будут какие-то идеи, куда следует обратить особое внимание? Где могут встретиться "болевые точки" в работе продукта? Если таковые имеются - расскажите, буду изучать это в первую очередь.<img src="/plugins/nodebb-plugin-composer-kl/vendor/tinymce/plugins/emoticons/img/smiley-smile.gif" alt="smile" /></p>

[ANGElDRAGON]

<p>@dmitry-vorontsov said in <a href="/post/12006" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>
<p>@alexeyk said in <a href="/post/12005" target="_blank" rel="noopener">Тестирование KVRT 2020</a>:</p>
<blockquote>У меня и на предыдущей версии так было, папка не удаляется, пока не перезагрузишь систему. Причина, как я понимаю, в драйвере в папке Temp. После рестарта ОС он удаляется, тогда можно и папку удалить.</blockquote>
<p>Да, вы правы. На Windows 10 файл загруженного драйвера не может быть удален. Выключение компьютера обычно выполняет гибернацию системы, а не "честное" выключение. При выходе из гибернации все загруженные до гибернации драйвера остаются в памяти. Поэтому Вам не удалось удалить KVRT2020_Data после выключения. А вот перезагрузка - это "честное" выключение. </p>
</blockquote>
<p>Думаю, это нужно где-то в справке KVRT  указать, сейчас ведь мало кто перезагружает систему, больше: выключил и включил.</p>

[KOTGDI]

<p>При скачивании было написано, чтоб удалить перезагрузите ПК.</p>

[SQ]

<p>Я запустил одновременно KVRT2020 и KVRT2015. Заметил, что в 2015 версии кнопка close не активна во время сканирования, а в 2020 версии активная, т.е. я могу закрыть в любой момент.</p>
<p><img src="https://cloud.qainfo.ru/index.php/apps/files_sharing/ajax/publicpreview.php?x=1920&amp;y=390&amp;a=true&amp;file=kvrt.png&amp;t=CagY7eahQEuGnYh&amp;scalingup=0" alt="" width="792" height="390" /></p>
<p></p>
<p>При этом 2015 версия завершила сканирование быстрее и на 4 файла в отчете больше.<img src="https://cloud.qainfo.ru/index.php/apps/files_sharing/ajax/publicpreview.php?x=1920&amp;y=390&amp;a=true&amp;file=kvrt_result.png&amp;t=tBATWPp69Pen8JQ&amp;scalingup=0" alt="" width="804" height="390" /></p>
<p>Также в 15 версии указано в результате, что вредононое ПО не найдено, а в 20 что сканирование завершено.По мне информативней было бы, если было бы указано что вредоносное ПО не найдено.</p>
<p>Трейсы : https://cloud.qainfo.ru/s/xnpKa3kZ6EJfUFP</p>