4. Тестирование KVRT 2020

Тестирование KVRT 2020

  • A

    @alexeyk said in Тестирование KVRT 2020:

    в MR3 решения ждать не стоит

    Обещали как раз в этой версии сделать доработки, но, наверно, как и с анти-баннером в итоге вышло: вирус сильнее, мы пока изучим его, а потом все доделаем или уже вирус сам прекратит свою активность.sealed

  • L

    весело ))

  • L

    весело хотела другое написать но этого хватит

  • A
    , last edited by AlexeyK

    @andrey-kirzhemanov Ясно, спасибо, буду знать.

    P.S. Странно, Вы сообщение отправили сегодня, что отобразилось мне в уведомлении, а улетело в форуме оно куда-то вверх и значится как опубликованное 2 месяца назад.smile Или же оно только сегодня проявилось вместе с уведомлениями... В общем, какой-то глюк форума.

  • A

    @angeldragon Нет, не сообщила. И судя по всему, в MR3 решения ждать не стоит. Тему на форуме не создавал, отправил по другому каналу.

  • D

    @angeldragon said in Тестирование KVRT 2020:

    @dmitry-vorontsov есть ли какая-то команда запуска, чтобы KVRT не предлагал устанавливать антивирус по окончанию сканирования или лечения?

    -noads

  • A

    @dmitry-vorontsov есть ли какая-то команда запуска, чтобы KVRT не предлагал устанавливать антивирус по окончанию сканирования или лечения? Или это входит в -silent?

    @alexeyk said in Тестирование KVRT 2020:

    Я уже отправил информацию по данному инциденту.

    Что-то сообщила команда разработки MR3? Не нашел тему с багой здесь.

  • D

    @angeldragon said in Тестирование KVRT 2020:

    я так понимаю, KVRT до сих пор не научился лечить результаты майнера?

    Да, пока не научился. Я не могу повлиять на скорость решения этой проблемы.

  • A
    , last edited by ANGElDRAGON

    @dmitry-vorontsov я так понимаю, KVRT до сих пор не научился лечить результаты майнера?Раздел просто кишит темами не получается установить Kaspersky

    P.S. Шапку можно поправить,  трассировки по умолчанию отключены.

  • A

    @dmitry-vorontsov

    Лучше я не буду углубляться в разговоры и приведу такой пример. Скриншот ниже.

    Все просто: я выгрузил KTS, взял три зловреда, поместил их в папку Test на рабочем столе и по очереди запустил. Вполне себе типичная ситуация. После непродолжительной работы все эти семплы самостоятельно быстро выгружаются. Затем я запустил KTS, который, напомню, с этими файлами не знаком, и запустил быстрое сканирование. Были найдены все три файла в папке с рабочего стола и еще два в AppData.

    Однако результат рекомендуемого сканирования KVRT сильно отличается: обнаружен только один объект в AppData. А если бы его там не было или он еще не детектировался бы (в данном случае облаком) - результат был бы "угроз не обнаружено".

    Причем, если просто положить эти файлы в папку на рабочий стол и выполнить быстрое сканирование, то KTS их не обнаружит.

    Налицо очевидное преимущество: зловреды сразу детектируются независимо от их активности и каталога запуска. Не знаю, что же мешает добавить в KVRT аналогичную возможность определять недавно запущенные файлы. Может есть какая-то серьезная особенность в работе? Может не хватает каких-то прав доступа?

    Однако замечу, что информацию KTS берет не аналогично указанным мной ранее утилитам, у него какой-то другой способ, о котором мне неизвестно. Утилиты запуски этих файлов не регистрируют.

  • D

    Во первых, KVRT по умолчанию проверяет объекты автозапуска. Если майнер или стилер прописан в автозагрузке, KVRT его найдет и проверит.

    Во вторых, KVRT - это не домашний антивирус. Его возможности естественно проигрывают возможностям домашнего продукта. Если KVRT будет  искать список запущенных в течении текущей сессии файлов - это получиться кривая функция, которая будет работать не стабильно и не предсказуемо. Что мешает стилеру после выполнения своих задач удалить свои исполняемые файлы с компьютера пользователя?

    Зловреды могут очищать списки которые показывают ExecutedProgramsList и LastActivityView.

    Зловреды (тот же упомянутый стилер) могу в конце своей работы перегрузиться машину.

    Вы уверены, что все запускаемые программы попадают в этот список? И все DLL ? И bat, cmd и PowerShell скрипты?

  • A

    @angeldragon said in Тестирование KVRT 2020:

    Интересная идея, я думал, что KVRT это уже учитывает.

    Идея отличная, но не моя, а подсмотренная из работы продуктов домашней линейки. smile Нет, не учитывает, к сожалению. 

    Еще придумал такой пример. В систему установился скрытый майнер. Пользователь видит нагрузку по ДЗ, завершает процесс, чтобы освободить ресурсы, затем сканирует KVRT, а детекта может не быть из-за расположения файла вне сканируемых по умолчанию каталогов. Так как каталог майнера неизвестен - нужен полный скан всех дисков. А можно было обойтись быстрым сканированием.

  • A

    @alexeyk said in Тестирование KVRT 2020:

    Доброго дня!

    А нет ли у разработчиков желания и возможности добавить в стандартную проверку по умолчанию сканирование ранее запущенных в данном сеансе работы системы файлов, но не работающих в данный момент? Продукты домашней линейки (KIS, SaaS и т.п.) при быстром сканировании проверяют такие файлы, причем даже в случае, если при их запуске антивирус не был активен. Проверяются файлы из любого каталога и любого диска. Как точно это происходит - не знаю, наверное считывается информация о запущенных файлах по аналогии с такими утилитами, как ExecutedProgramsList и LastActivityView.

    По-моему, очень полезная вещь. KVRT при стандартном скане проверяет некоторые каталоги, а также запущенные процессы. Но если зловред уже отработал и выгрузился, то он может и не детектироваться. Если он запускался с рабочего стола - будет детект, а если из какой-нибудь папки на рабочем столе или с другого логического диска - не будет.

    Попался мне стилер, который за несколько секунд делает скриншот, крадет информацию из браузеров (куки, логины, пароли...), архивирует, отправляет хозяину и сразу выгружается. Заметив странное поведение файла, пользователь выполняет проверку KVRT, но утилита может ничего не обнаружить, если не добавить в лист этот файл или не сделать полный скан. Так же, к примеру и с шифраторами: после отработки совсем не факт, что стандартная проверка его обнаружит. А до полного или выборочного сканирования дело может так и не дойти. Кроме того, это может ускорить процесс детекта и устранения угроз, когда вредоносных файлов несколько, но часть из них завершила работу и будет обнаружена уже при полном сканировании в процессе лечения.

    В общем, думаю такая доработка смогла бы улучшить детект при сканировании с настройками по умолчанию, не повлияв существенно на общее время проверки.

    Интересная идея, я думал, что KVRT это уже учитывает.

  • A
    , last edited by AlexeyK

    Доброго дня!

    А нет ли у разработчиков желания и возможности добавить в стандартную проверку по умолчанию сканирование ранее запущенных в данном сеансе работы системы файлов, но не работающих в данный момент? Продукты домашней линейки (KIS, SaaS и т.п.) при быстром сканировании проверяют такие файлы, причем даже в случае, если при их запуске антивирус не был активен. Проверяются файлы из любого каталога и любого диска. Как точно это происходит - не знаю, наверное считывается информация о запущенных файлах по аналогии с такими утилитами, как ExecutedProgramsList и LastActivityView.

    По-моему, очень полезная вещь. KVRT при стандартном скане проверяет некоторые каталоги, а также запущенные процессы. Но если зловред уже отработал и выгрузился, то он может и не детектироваться. Если он запускался с рабочего стола - будет детект, а если из какой-нибудь папки на рабочем столе или с другого логического диска - не будет.

    Попался мне стилер, который за несколько секунд делает скриншот, крадет информацию из браузеров (куки, логины, пароли...), архивирует, отправляет хозяину и сразу выгружается. Заметив странное поведение файла, пользователь выполняет проверку KVRT, но утилита может ничего не обнаружить, если не добавить в лист этот файл или не сделать полный скан. Так же, к примеру и с шифраторами: после отработки совсем не факт, что стандартная проверка его обнаружит. А до полного или выборочного сканирования дело может так и не дойти. Кроме того, это может ускорить процесс детекта и устранения угроз, когда вредоносных файлов несколько, но часть из них завершила работу и будет обнаружена уже при полном сканировании в процессе лечения.

    В общем, думаю такая доработка смогла бы улучшить детект при сканировании с настройками по умолчанию, не повлияв существенно на общее время проверки.

  • D
    , last edited by Dmitry.Vorontsov

    @angeldragon said in Тестирование KVRT 2020:

    В этой версии "Исследование системы" срезано:

    Исправим

    @alexeyk said in Тестирование KVRT 2020:

    Окно с предложением установки KAV появляется в процессе лечения активного заражения с перезагрузкой.

    Безобразие. Исправим

  • A
    , last edited by AlexeyK

    @yury-spravtsev said in Тестирование KVRT 2020:

    Из найденных в данном топике проблем исправлены: тут тоже нет предупреждения о последующем после обратного отсчета действии

    В окне с предупреждением все выглядит точно так же, как в прошлых сборках.

    Окно с предложением установки KAV появляется в процессе лечения активного заражения с перезагрузкой.

    Шаги воспроизведения: выполнить заражение ОС, запустить сканировние KVRT с настройками по умолчанию, после детектирования выбрать удаление, затем лечение с перезагрузкой.

    Актуальный результат: между первичным удалением малвари и запуском первого автоматического сканирования в процессе лечения, когда блокирован проводник, появляется предложение установки KAV. При нажатии кнопки "Продолжить" это окно просто закрывается.

    Ожидаемый результат: окно будет появляться после лечения активного заражения.

    Видео здесь: https://cloud.qainfo.ru/s/8zq4XI1B3EmOc6i

  • A

    В этой версии "Исследование системы" срезано:

    В предыдущей было нормально:

  • A

    по окончании сканирования предлагается установка KAV.

    Предлагается в случаях отсутствия обнаружений, досрочного завершения сканирования, выбора удаления детектированных угроз. Если применяются действия "Скопировать в карантин" или "Пропустить", то окно с предложением не появляется.

  • D
    , last edited by Dmitry.Vorontsov

    @angeldragon said in Тестирование KVRT 2020:

    А зачем это? Вдруг человек захочет установить другой продукт Лаборатории Касперского?

    KVRT только предлагает антивирус. Вы можете отказаться.

    @angeldragon said in Тестирование KVRT 2020:

    Справки до сих пор нет?

    Скоро будет

  • A

    Справки до сих пор нет?

    https://support.kaspersky.ru/kvrt2020?cid=KVRT_20.0&utm_source=interceptor&utm_medium=product&utm_campaign=KVRT_20.0

Looks like your connection to Beta Testing was lost, please wait while we try to reconnect.