-
@alexeyk said in Тестирование KVRT 2020:
Доброго дня!
А нет ли у разработчиков желания и возможности добавить в стандартную проверку по умолчанию сканирование ранее запущенных в данном сеансе работы системы файлов, но не работающих в данный момент? Продукты домашней линейки (KIS, SaaS и т.п.) при быстром сканировании проверяют такие файлы, причем даже в случае, если при их запуске антивирус не был активен. Проверяются файлы из любого каталога и любого диска. Как точно это происходит - не знаю, наверное считывается информация о запущенных файлах по аналогии с такими утилитами, как ExecutedProgramsList и LastActivityView.
По-моему, очень полезная вещь. KVRT при стандартном скане проверяет некоторые каталоги, а также запущенные процессы. Но если зловред уже отработал и выгрузился, то он может и не детектироваться. Если он запускался с рабочего стола - будет детект, а если из какой-нибудь папки на рабочем столе или с другого логического диска - не будет.
Попался мне стилер, который за несколько секунд делает скриншот, крадет информацию из браузеров (куки, логины, пароли...), архивирует, отправляет хозяину и сразу выгружается. Заметив странное поведение файла, пользователь выполняет проверку KVRT, но утилита может ничего не обнаружить, если не добавить в лист этот файл или не сделать полный скан. Так же, к примеру и с шифраторами: после отработки совсем не факт, что стандартная проверка его обнаружит. А до полного или выборочного сканирования дело может так и не дойти. Кроме того, это может ускорить процесс детекта и устранения угроз, когда вредоносных файлов несколько, но часть из них завершила работу и будет обнаружена уже при полном сканировании в процессе лечения.
В общем, думаю такая доработка смогла бы улучшить детект при сканировании с настройками по умолчанию, не повлияв существенно на общее время проверки.
Интересная идея, я думал, что KVRT это уже учитывает.
@angeldragon said in Тестирование KVRT 2020:
Интересная идея, я думал, что KVRT это уже учитывает.
Идея отличная, но не моя, а подсмотренная из работы продуктов домашней линейки.
Нет, не учитывает, к сожалению. Еще придумал такой пример. В систему установился скрытый майнер. Пользователь видит нагрузку по ДЗ, завершает процесс, чтобы освободить ресурсы, затем сканирует KVRT, а детекта может не быть из-за расположения файла вне сканируемых по умолчанию каталогов. Так как каталог майнера неизвестен - нужен полный скан всех дисков. А можно было обойтись быстрым сканированием.
-
Во первых, KVRT по умолчанию проверяет объекты автозапуска. Если майнер или стилер прописан в автозагрузке, KVRT его найдет и проверит.
Во вторых, KVRT - это не домашний антивирус. Его возможности естественно проигрывают возможностям домашнего продукта. Если KVRT будет искать список запущенных в течении текущей сессии файлов - это получиться кривая функция, которая будет работать не стабильно и не предсказуемо. Что мешает стилеру после выполнения своих задач удалить свои исполняемые файлы с компьютера пользователя?
Зловреды могут очищать списки которые показывают ExecutedProgramsList и LastActivityView.
Зловреды (тот же упомянутый стилер) могу в конце своей работы перегрузиться машину.
Вы уверены, что все запускаемые программы попадают в этот список? И все DLL ? И bat, cmd и PowerShell скрипты?
-
Во первых, KVRT по умолчанию проверяет объекты автозапуска. Если майнер или стилер прописан в автозагрузке, KVRT его найдет и проверит.
Во вторых, KVRT - это не домашний антивирус. Его возможности естественно проигрывают возможностям домашнего продукта. Если KVRT будет искать список запущенных в течении текущей сессии файлов - это получиться кривая функция, которая будет работать не стабильно и не предсказуемо. Что мешает стилеру после выполнения своих задач удалить свои исполняемые файлы с компьютера пользователя?
Зловреды могут очищать списки которые показывают ExecutedProgramsList и LastActivityView.
Зловреды (тот же упомянутый стилер) могу в конце своей работы перегрузиться машину.
Вы уверены, что все запускаемые программы попадают в этот список? И все DLL ? И bat, cmd и PowerShell скрипты?
@dmitry-vorontsov
Лучше я не буду углубляться в разговоры и приведу такой пример. Скриншот ниже.
Все просто: я выгрузил KTS, взял три зловреда, поместил их в папку Test на рабочем столе и по очереди запустил. Вполне себе типичная ситуация. После непродолжительной работы все эти семплы самостоятельно быстро выгружаются. Затем я запустил KTS, который, напомню, с этими файлами не знаком, и запустил быстрое сканирование. Были найдены все три файла в папке с рабочего стола и еще два в AppData.
Однако результат рекомендуемого сканирования KVRT сильно отличается: обнаружен только один объект в AppData. А если бы его там не было или он еще не детектировался бы (в данном случае облаком) - результат был бы "угроз не обнаружено".
Причем, если просто положить эти файлы в папку на рабочий стол и выполнить быстрое сканирование, то KTS их не обнаружит.
Налицо очевидное преимущество: зловреды сразу детектируются независимо от их активности и каталога запуска. Не знаю, что же мешает добавить в KVRT аналогичную возможность определять недавно запущенные файлы. Может есть какая-то серьезная особенность в работе? Может не хватает каких-то прав доступа?
Однако замечу, что информацию KTS берет не аналогично указанным мной ранее утилитам, у него какой-то другой способ, о котором мне неизвестно. Утилиты запуски этих файлов не регистрируют.
-
Во первых, KVRT по умолчанию проверяет объекты автозапуска. Если майнер или стилер прописан в автозагрузке, KVRT его найдет и проверит.
Во вторых, KVRT - это не домашний антивирус. Его возможности естественно проигрывают возможностям домашнего продукта. Если KVRT будет искать список запущенных в течении текущей сессии файлов - это получиться кривая функция, которая будет работать не стабильно и не предсказуемо. Что мешает стилеру после выполнения своих задач удалить свои исполняемые файлы с компьютера пользователя?
Зловреды могут очищать списки которые показывают ExecutedProgramsList и LastActivityView.
Зловреды (тот же упомянутый стилер) могу в конце своей работы перегрузиться машину.
Вы уверены, что все запускаемые программы попадают в этот список? И все DLL ? И bat, cmd и PowerShell скрипты?
@dmitry-vorontsov я так понимаю, KVRT до сих пор не научился лечить результаты майнера?Раздел просто кишит темами не получается установить Kaspersky
P.S. Шапку можно поправить, трассировки по умолчанию отключены.
-
@dmitry-vorontsov я так понимаю, KVRT до сих пор не научился лечить результаты майнера?Раздел просто кишит темами не получается установить Kaspersky
P.S. Шапку можно поправить, трассировки по умолчанию отключены.
@angeldragon said in Тестирование KVRT 2020:
я так понимаю, KVRT до сих пор не научился лечить результаты майнера?
Да, пока не научился. Я не могу повлиять на скорость решения этой проблемы.
-
@angeldragon said in Тестирование KVRT 2020:
я так понимаю, KVRT до сих пор не научился лечить результаты майнера?
Да, пока не научился. Я не могу повлиять на скорость решения этой проблемы.
@dmitry-vorontsov есть ли какая-то команда запуска, чтобы KVRT не предлагал устанавливать антивирус по окончанию сканирования или лечения? Или это входит в -silent?
@alexeyk said in Тестирование KVRT 2020:
Я уже отправил информацию по данному инциденту.
Что-то сообщила команда разработки MR3? Не нашел тему с багой здесь.
-
@dmitry-vorontsov есть ли какая-то команда запуска, чтобы KVRT не предлагал устанавливать антивирус по окончанию сканирования или лечения? Или это входит в -silent?
@alexeyk said in Тестирование KVRT 2020:
Я уже отправил информацию по данному инциденту.
Что-то сообщила команда разработки MR3? Не нашел тему с багой здесь.
@angeldragon said in Тестирование KVRT 2020:
@dmitry-vorontsov есть ли какая-то команда запуска, чтобы KVRT не предлагал устанавливать антивирус по окончанию сканирования или лечения?
-noads
-
@dmitry-vorontsov есть ли какая-то команда запуска, чтобы KVRT не предлагал устанавливать антивирус по окончанию сканирования или лечения? Или это входит в -silent?
@alexeyk said in Тестирование KVRT 2020:
Я уже отправил информацию по данному инциденту.
Что-то сообщила команда разработки MR3? Не нашел тему с багой здесь.
-
@alexeyk said in Тестирование KVRT 2020:
@angeldragon said in Тестирование KVRT 2020:
Да, у 2015 версии интерфейс более информативнее.
Однако попытался запустить сегодня 15 версию с параметром -freboot - получил незагружаемую систему, даже безопасный режим не спас. Пришлось откатываться. А вот с 20-кой такого не случилось - наверное поработали над совместимостью с новыми ОС.
Все драйвера в KVRT 2020 подписаны Microsoft WHQL подписью, чего не было в 2015. Отсюда и нормальная работа на Win 10 при включённой настройке ОС принудительно проверять WHQL подпись (активируется по умолчанию при установке системы с нуля).
@andrey-kirzhemanov Ясно, спасибо, буду знать.
P.S. Странно, Вы сообщение отправили сегодня, что отобразилось мне в уведомлении, а улетело в форуме оно куда-то вверх и значится как опубликованное 2 месяца назад.
Или же оно только сегодня проявилось вместе с уведомлениями... В общем, какой-то глюк форума. -
@angeldragon Нет, не сообщила. И судя по всему, в MR3 решения ждать не стоит. Тему на форуме не создавал, отправил по другому каналу.
@alexeyk said in Тестирование KVRT 2020:
в MR3 решения ждать не стоит
Обещали как раз в этой версии сделать доработки, но, наверно, как и с анти-баннером в итоге вышло: вирус сильнее, мы пока изучим его, а потом все доделаем или уже вирус сам прекратит свою активность.
-
@alexeyk said in Тестирование KVRT 2020:
в MR3 решения ждать не стоит
Обещали как раз в этой версии сделать доработки, но, наверно, как и с анти-баннером в итоге вышло: вирус сильнее, мы пока изучим его, а потом все доделаем или уже вирус сам прекратит свою активность.
-
Не смог закарантинить некоторые объекты, есть только фото:
Что-то не смог найти информацию по трояну, он распространяется в сети или же только через флешки?
-
Не смог закарантинить некоторые объекты, есть только фото:
Что-то не смог найти информацию по трояну, он распространяется в сети или же только через флешки?
-
-
В последнее время заметил, что на форуме начали появляться темы с Trojan.Win64.Miner.gen, пример, думаю KVRT тоже с ним не справится, раз сам антивирус уже не может удалить несколько дней.
-
@alexeyk да, случайно очистил карантин, но эта версия лучше удаляет, чем предыдущая. Прошлые версии раза 3 просили перезагрузить компьютер, чтобы полностью удалить найденный объект.
-
@angeldragon Это да, несколько перезагрузок и сканирований требуется иногда для полной очистки. Этот момент мне тоже был непонятен, хотя главное, что все найденные объекты в итоге удалялись.
-
@alexeyk ну там после каждой перезагрузки полная проверка еще запускалась, то есть времени больше уходило на лечение.
@angeldragon Надо будет побольше потестировать эту версию именно на лечение активного заражения. Действительно, процесс очень неторопливый, в том числе из-за ограниченности ресурсов на виртуалке. Даже с SSD пока завершатся все сканы и лечения...
Hello! It looks like you're interested in this conversation, but you don't have an account yet.
Getting fed up of having to scroll through the same posts each visit? When you register for an account, you'll always come back to exactly where you were before, and choose to be notified of new replies (either via email, or push notification). You'll also be able to save bookmarks and upvote posts to show your appreciation to other community members.
With your input, this post could be even better 💗
Register Login© 2026 АО «Лаборатория Касперского»