Avis Eset smart security 5

ESET est bien.

Voici un petit test, histoire de te donner une idée :
http://infomars.fr/forum/index.php?showtopic=3650&view=findpost&p=65518

je te donne mon avis avast me plais pas
1 norton ( ram bien grande)
2 nod32 ( eset smart)
3 kaspersky
4 avira

À mon avis, les personnes sur ce forum ne se fient qu'à la vidéo postée et ignorent complètement que Norton et Kaspersky se font eux aussi avoir par beaucoup de spywares. Faux antivirus(rogue) ftw ^^

Ceux qui viennent le plus souvent au magasin pour des problèmes de spywares ont Kaspersky, avast ou un antivirus merdique du fournisseur internet. Certains disent qu'avast est plus efficace que nod32... Il est plus efficace.... pour donner des fausses alertes ;)

"Au fond, tout ce que je veux dire, c'est que peu importe l'antivirus, on est pas à l'abri de virus/spywares. Le meilleur antivirus est à 18 pouces du clavier."


Exact, il suffit de lire quelques sujets de ce forum pour le comprendre.


@+

J'ai joué un peu avec l'autre jour => http://www.malekal.com/2011/09/21/nod32-version-5-survol-rapide/

La détection est très bonne mais pas infaillible.

Perso, je regrete que par rapport à Norton/BitDefender/Kaspersky 2012 - il n'y est pas de détection comportementale/heuristique à l'execution qui permet de bloquer + d'infection que la détection sur le code de fichiers.
Ca permettrait d'avoir un garde fou.
Donc j'ai quand mm perso une pref pour un des trois.

Ca reste un très bon antivirus dans tous les cas.
Donc l'acheter n'est pas vraiment un mauvais choix.

vigen j'ai survolé ta vidéo (parce que 1h30), je voudrais faire des remarques - ça se veux constructif hein pas pour te défoncer.
Donc ne pas le prendre mal.

J'imagine que les urls que tu as, tu les récups à droite et à gauche sur des sites d'honeypot.
=> http://pjjoint.malekal.com/files.php?read=y15j8d11e6s5i13g13b13o10g11w15m10i13u14g11m5o9d5u10l9

Il y a de tout...
le 2fphp.php c'est un exploit PDF.
les w.php ou dmexe.php ou autres - c'est des binaires, tu vas me dire "ha ouais mais pourquoi y a un .php et pas .exe" parce que c'est simplement un script PHP d'un exploit qui va faire un insère dans la base (compteur, l'IP que download) et ça permet de filtrer, si tu retournes et que ton IP est déjà dans la base, ça va interdire ou te renvoyer vers un moteur de recherche (d'où le prb des IP fixes)
Tout dépend comment le kit exploit fonctionne.

A un moment tu tests des .txt (vers 24min) - rien qu'avec le nom, je peux te dire que c'est un script PHP qui est utilisé dans des scans RFI.
NoD32 peux les détecter mais dans le cas d'un poste de travail, on en a un peu rien à faire de ce genre de menaces.

A un moment tu tests des programmes casinos.
Je vois pas bien pourquoi faudrait que NOD32 les détectent ?!
En plus as-tu activé la détection LPI/PUP ?

Tout ça pour dire qu'en récupant des urls à droite à et gauche et notamment dans le cas des exploits, tu ne tests pas toute la chaine de l'infection.
Des fois tu tests l'exploit, des fois un site intermédire qui va vers l'exploit (qui contient des scripts malicieux) et des fois simplement le dropper directement (le w.php dont je te parle)
Mais jamais du site hacké vers exploit vers dropper.
Or NOD32 peux bloquer le code malicieux sur le site hacké et ne pas détecter le reste.

A un moment, tu tests la chaine en entier: tu vas sur google, tu vas sur keyguuru (tu dis - ho il est pas bloqué) puis tu télécharges le crack et le lien "central"(cf ce post http://www.malekal.com/2011/09/01/faux-site-de-crack-ca-marche-encore-bien/ ) est bloqué.
Ca permet de ne pas avoir à blacklister tous les "faux sites de cracks".
Imaginons que ce soit l'inverse.
NOD32 bloque les 3 sites de téléchargements mais ne bloquent pas le lien central et que toi tu tests simplement le lien central (le binaire quoi).
Tu vas dire "bouhouhouh NOD32 bloque pas ce malware, sont nuls"
alors que l'utilisateur est bien protégé puisque les accès aux sites de cracks sont bloqués mais ça c'est en amont.

Et bien avec les exploits, c'est exactement ce que tu fais en ne testant pas la chaîne de A à Z et du coup les résultats obtenus ne reflètent pas la réalité.

Pareil le dogavi.exe ça vient par un site de faux codec, le site du faux codec, peux être blacklisté.

Tester directement le dropper c'est mal, tu ne sais pas si en amont le kit est bloqué ou pas et si au final NOD32 protège l'internaute.

Je sais que c'est pas simple et que ça prends énormément de temps de tester tout de à A à Z (et qu'en récupérant des urls à droite et à gauche, on peux pas vu que tu n'as pas de site hacké qui conduit vers ces liens)
Et si en plus t'as une IP fixe, c'est encore moins simple.

Voila c'était une simple remarque et d'interppeler là dessus.
Peux-être que tu peux améliorer des choses ensuite.

Donc perso, je ne suis pas certains que ce genre de tests puissent reflèter la vraie protection offerte par l'antivirus.

En plus, je ne crois pas que les vidéos soit un bon support pour vraiment faire des tests poussés, c'est juste bien pour envoyer 3/4 urls comme ça pour voir et expliquer comment ça marche autour et les protections offertes par l'antivirus, mais pas vraiment de quoi faire des tests poussés pour en tirer une quelconque conclusion sur l'efficacité d'un produit.

Après bon, y a tjrs l'avis de celui qui test :)

Rhalala...

"Tester directement le dropper c'est mal, tu ne sais pas si en amont le kit est bloqué ou pas et si au final NOD32 protège l'internaute. "
=> cela me permet de voir la protection qu'offre le résident.

Ca ne sert à rien pris indépendemment.
Un antivirus c'est un tout et pas des bouts de modules qu'on test indépendemment des uns et des autres.
C'est bien pour cela que les tests avec des scans à la demande c'est débile, encore plus, maintenant avec les protections comportementales.

Quand tu es infecté, il y a un cheminement, l'antivirus a des modules différents qui sont utilisés pour protéger l'internaute pendant ce cheminement.
Si tu tests que des bouts pris au hasard, ça ne test rien au final et en renvoie que des résultats erronés.

Prendre indépendemment et tester un module un part un, c'est à mon sens pas bon pour les raisons que je t'ai donné (et en plus avec seulement 5 urls, c'est trop aléatoire).
Le but c'est de voir si l'internaute est protégé ou non.

Regarde ces deux captures, le Javascript sur le site hacké qui conduit vers l'exploit qui va télécharger et lancer le dropper est bloqué, du coup l'infection ne s'installe pas :
http://www.malekal.com/wp-content/uploads/NOD32_version_5_protection_web7.png
http://www.malekal.com/wp-content/uploads/NOD32_version_5_protection_web.png

Si tu tests directement le dropper il est peut-être pas détecté et pas bloqué et l'infection va s'installer.
Toi tu vas en déduire que NOD32 protège pas alors que l'internaute au final l'est.

Pareil pour mon exemple de site de cracks dans le cas que je t'ai donné ou pareil pour le faux codec.
Le dropper du faux codec, il va aller par un site de faux codec qui peux être blacklisté ou éventuellement les rotators en amont s'ils sont connus...
Si tu testes directement le dropper ça peux passer alors que l'internaute est protégé en amont.
Toi tu vas en déduire que NOD32 ne protège pas et bloque pas cette infection alors que c'est potentiellement le cas.

C'est sur cet aspect que je voulais t'interpeller.

Bonjour Malekal,

Ce topic est intéressant puisqu'il permet de comparer ton expérience et ta technique avec celles des testeurs d'URL.

Juste une petite suggestion pour ton site, peux tu te mettre un jour toi aussi à la vidéo... pour nous montrer dans le détail toute la chaîne d'une infection (ou deux), y compris le côté réseau visible dans TCP/IP de process explorer?


Cordialement

je plussois Malekal

un exemple tout bete le cas de xvid.exe faux codec bien connus, le site du malware est bloqué mais le malware est updater tout les jours quasiment, c'est bien plus "simple" de bloquer le site que faire une update du malware tout les jours (rien empêche cependant) mais la protection reste la même malware pas détecter mais pas possible d'aller le télécharger ...