Avis Eset smart security 5
Fermé
boss-t
Messages postés
182
Date d'inscription
vendredi 20 février 2009
Statut
Membre
Dernière intervention
12 décembre 2013
-
Modifié par boss-t le 23/09/2011 à 18:56
Pipoca de Sal - 8 juin 2014 à 10:43
Pipoca de Sal - 8 juin 2014 à 10:43
A voir également:
- Smart security avis
- Lenovo smart paper - Guide
- Microsoft security essentials - Télécharger - Antivirus & Antimalwares
- Security health systray ✓ - Forum Windows 10
- Ice smart two avis - Guide
- Wifi smart caméra notice en francais - Forum Caméra
10 réponses
loumax91
Messages postés
3182
Date d'inscription
mardi 14 juin 2011
Statut
Contributeur sécurité
Dernière intervention
14 avril 2019
474
23 sept. 2011 à 21:30
23 sept. 2011 à 21:30
"Au fond, tout ce que je veux dire, c'est que peu importe l'antivirus, on est pas à l'abri de virus/spywares. Le meilleur antivirus est à 18 pouces du clavier."
Exact, il suffit de lire quelques sujets de ce forum pour le comprendre.
@+
Exact, il suffit de lire quelques sujets de ce forum pour le comprendre.
@+
Malekal_morte-
Messages postés
180304
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 627
Modifié par Malekal_morte- le 30/09/2011 à 12:08
Modifié par Malekal_morte- le 30/09/2011 à 12:08
vigen j'ai survolé ta vidéo (parce que 1h30), je voudrais faire des remarques - ça se veux constructif hein pas pour te défoncer.
Donc ne pas le prendre mal.
J'imagine que les urls que tu as, tu les récups à droite et à gauche sur des sites d'honeypot.
=> https://pjjoint.malekal.com/files.php?read=y15j8d11e6s5i13g13b13o10g11w15m10i13u14g11m5o9d5u10l9
Il y a de tout...
le 2fphp.php c'est un exploit PDF.
les w.php ou dmexe.php ou autres - c'est des binaires, tu vas me dire "ha ouais mais pourquoi y a un .php et pas .exe" parce que c'est simplement un script PHP d'un exploit qui va faire un insère dans la base (compteur, l'IP que download) et ça permet de filtrer, si tu retournes et que ton IP est déjà dans la base, ça va interdire ou te renvoyer vers un moteur de recherche (d'où le prb des IP fixes)
Tout dépend comment le kit exploit fonctionne.
A un moment tu tests des .txt (vers 24min) - rien qu'avec le nom, je peux te dire que c'est un script PHP qui est utilisé dans des scans RFI.
NoD32 peux les détecter mais dans le cas d'un poste de travail, on en a un peu rien à faire de ce genre de menaces.
A un moment tu tests des programmes casinos.
Je vois pas bien pourquoi faudrait que NOD32 les détectent ?!
En plus as-tu activé la détection LPI/PUP ?
Tout ça pour dire qu'en récupant des urls à droite à et gauche et notamment dans le cas des exploits, tu ne tests pas toute la chaine de l'infection.
Des fois tu tests l'exploit, des fois un site intermédire qui va vers l'exploit (qui contient des scripts malicieux) et des fois simplement le dropper directement (le w.php dont je te parle)
Mais jamais du site hacké vers exploit vers dropper.
Or NOD32 peux bloquer le code malicieux sur le site hacké et ne pas détecter le reste.
A un moment, tu tests la chaine en entier: tu vas sur google, tu vas sur keyguuru (tu dis - ho il est pas bloqué) puis tu télécharges le crack et le lien "central"(cf ce post https://www.malekal.com/faux-site-de-crack-ca-marche-encore-bien/ ) est bloqué.
Ca permet de ne pas avoir à blacklister tous les "faux sites de cracks".
Imaginons que ce soit l'inverse.
NOD32 bloque les 3 sites de téléchargements mais ne bloquent pas le lien central et que toi tu tests simplement le lien central (le binaire quoi).
Tu vas dire "bouhouhouh NOD32 bloque pas ce malware, sont nuls"
alors que l'utilisateur est bien protégé puisque les accès aux sites de cracks sont bloqués mais ça c'est en amont.
Et bien avec les exploits, c'est exactement ce que tu fais en ne testant pas la chaîne de A à Z et du coup les résultats obtenus ne reflètent pas la réalité.
Pareil le dogavi.exe ça vient par un site de faux codec, le site du faux codec, peux être blacklisté.
Tester directement le dropper c'est mal, tu ne sais pas si en amont le kit est bloqué ou pas et si au final NOD32 protège l'internaute.
Je sais que c'est pas simple et que ça prends énormément de temps de tester tout de à A à Z (et qu'en récupérant des urls à droite et à gauche, on peux pas vu que tu n'as pas de site hacké qui conduit vers ces liens)
Et si en plus t'as une IP fixe, c'est encore moins simple.
Voila c'était une simple remarque et d'interppeler là dessus.
Peux-être que tu peux améliorer des choses ensuite.
Donc perso, je ne suis pas certains que ce genre de tests puissent reflèter la vraie protection offerte par l'antivirus.
En plus, je ne crois pas que les vidéos soit un bon support pour vraiment faire des tests poussés, c'est juste bien pour envoyer 3/4 urls comme ça pour voir et expliquer comment ça marche autour et les protections offertes par l'antivirus, mais pas vraiment de quoi faire des tests poussés pour en tirer une quelconque conclusion sur l'efficacité d'un produit.
Après bon, y a tjrs l'avis de celui qui test :)
SHUT THE F*C*K UP, WE HAVE OTHER SONGS TOO !!
Donc ne pas le prendre mal.
J'imagine que les urls que tu as, tu les récups à droite et à gauche sur des sites d'honeypot.
=> https://pjjoint.malekal.com/files.php?read=y15j8d11e6s5i13g13b13o10g11w15m10i13u14g11m5o9d5u10l9
Il y a de tout...
le 2fphp.php c'est un exploit PDF.
les w.php ou dmexe.php ou autres - c'est des binaires, tu vas me dire "ha ouais mais pourquoi y a un .php et pas .exe" parce que c'est simplement un script PHP d'un exploit qui va faire un insère dans la base (compteur, l'IP que download) et ça permet de filtrer, si tu retournes et que ton IP est déjà dans la base, ça va interdire ou te renvoyer vers un moteur de recherche (d'où le prb des IP fixes)
Tout dépend comment le kit exploit fonctionne.
A un moment tu tests des .txt (vers 24min) - rien qu'avec le nom, je peux te dire que c'est un script PHP qui est utilisé dans des scans RFI.
NoD32 peux les détecter mais dans le cas d'un poste de travail, on en a un peu rien à faire de ce genre de menaces.
A un moment tu tests des programmes casinos.
Je vois pas bien pourquoi faudrait que NOD32 les détectent ?!
En plus as-tu activé la détection LPI/PUP ?
Tout ça pour dire qu'en récupant des urls à droite à et gauche et notamment dans le cas des exploits, tu ne tests pas toute la chaine de l'infection.
Des fois tu tests l'exploit, des fois un site intermédire qui va vers l'exploit (qui contient des scripts malicieux) et des fois simplement le dropper directement (le w.php dont je te parle)
Mais jamais du site hacké vers exploit vers dropper.
Or NOD32 peux bloquer le code malicieux sur le site hacké et ne pas détecter le reste.
A un moment, tu tests la chaine en entier: tu vas sur google, tu vas sur keyguuru (tu dis - ho il est pas bloqué) puis tu télécharges le crack et le lien "central"(cf ce post https://www.malekal.com/faux-site-de-crack-ca-marche-encore-bien/ ) est bloqué.
Ca permet de ne pas avoir à blacklister tous les "faux sites de cracks".
Imaginons que ce soit l'inverse.
NOD32 bloque les 3 sites de téléchargements mais ne bloquent pas le lien central et que toi tu tests simplement le lien central (le binaire quoi).
Tu vas dire "bouhouhouh NOD32 bloque pas ce malware, sont nuls"
alors que l'utilisateur est bien protégé puisque les accès aux sites de cracks sont bloqués mais ça c'est en amont.
Et bien avec les exploits, c'est exactement ce que tu fais en ne testant pas la chaîne de A à Z et du coup les résultats obtenus ne reflètent pas la réalité.
Pareil le dogavi.exe ça vient par un site de faux codec, le site du faux codec, peux être blacklisté.
Tester directement le dropper c'est mal, tu ne sais pas si en amont le kit est bloqué ou pas et si au final NOD32 protège l'internaute.
Je sais que c'est pas simple et que ça prends énormément de temps de tester tout de à A à Z (et qu'en récupérant des urls à droite et à gauche, on peux pas vu que tu n'as pas de site hacké qui conduit vers ces liens)
Et si en plus t'as une IP fixe, c'est encore moins simple.
Voila c'était une simple remarque et d'interppeler là dessus.
Peux-être que tu peux améliorer des choses ensuite.
Donc perso, je ne suis pas certains que ce genre de tests puissent reflèter la vraie protection offerte par l'antivirus.
En plus, je ne crois pas que les vidéos soit un bon support pour vraiment faire des tests poussés, c'est juste bien pour envoyer 3/4 urls comme ça pour voir et expliquer comment ça marche autour et les protections offertes par l'antivirus, mais pas vraiment de quoi faire des tests poussés pour en tirer une quelconque conclusion sur l'efficacité d'un produit.
Après bon, y a tjrs l'avis de celui qui test :)
SHUT THE F*C*K UP, WE HAVE OTHER SONGS TOO !!
"je voudrais faire des remarques.
Donc ne pas le prendre mal. " Pas de soucis, pour moi tout échange est constructif ;-)
Concernant "keyguuu" ^^ au contraire, peut etre ne l'as tu pas entendu, je suis satisfait qu'eset bloque le domaine d'hébergement...le site en lui meme, du moins sur ce point précis, ce n'étais pas important.
""bouhouhouh NOD32 bloque pas ce malware, sont nuls" bouhouhou? je ne pense pas en etre arrivé la quand meme ^^ :-)
"A un moment tu tests des programmes casinos.
Je vois pas bien pourquoi faudrait que NOD32 les détectent ?!
En plus as-tu activé la détection LPI/PUP ? " Oui la détection de pup était activé, pourquoi? tout simplement parce que ces logiciels emmenent vers des sites "bidons" (dont un d'ailleurs download un trojan), donc par prévention il est bien que l'av les bloquent, comme se fut le cas de Bitdefender. Ces logiciels ont était verifiés via virustotal .
"Tester directement le dropper c'est mal, tu ne sais pas si en amont le kit est bloqué ou pas et si au final NOD32 protège l'internaute. " cela me permet de voir la protection qu'offre le résident.
"Voila c'était une simple remarque et d'interpeler là dessus.
Peux-être que tu peux améliorer des choses ensuite. " comme je te le disais je suis ouvert a toute remarques/suggestions.
"Je ne suis pas certains que ce genre de tests puissent reflèter la vraie protection offerte pas l'antivirus. " ils ont au moins le mérite de montrer la protection a un instant "T", car on ne se feras pas infecter sur du long terme, mais bien a un instant précis.
J'en profite pour te remercier sur ton travail, et ton site, ou tout est toujours explicite, et ou l'on se doute que tout cela prend du temps ;-)
Donc ne pas le prendre mal. " Pas de soucis, pour moi tout échange est constructif ;-)
Concernant "keyguuu" ^^ au contraire, peut etre ne l'as tu pas entendu, je suis satisfait qu'eset bloque le domaine d'hébergement...le site en lui meme, du moins sur ce point précis, ce n'étais pas important.
""bouhouhouh NOD32 bloque pas ce malware, sont nuls" bouhouhou? je ne pense pas en etre arrivé la quand meme ^^ :-)
"A un moment tu tests des programmes casinos.
Je vois pas bien pourquoi faudrait que NOD32 les détectent ?!
En plus as-tu activé la détection LPI/PUP ? " Oui la détection de pup était activé, pourquoi? tout simplement parce que ces logiciels emmenent vers des sites "bidons" (dont un d'ailleurs download un trojan), donc par prévention il est bien que l'av les bloquent, comme se fut le cas de Bitdefender. Ces logiciels ont était verifiés via virustotal .
"Tester directement le dropper c'est mal, tu ne sais pas si en amont le kit est bloqué ou pas et si au final NOD32 protège l'internaute. " cela me permet de voir la protection qu'offre le résident.
"Voila c'était une simple remarque et d'interpeler là dessus.
Peux-être que tu peux améliorer des choses ensuite. " comme je te le disais je suis ouvert a toute remarques/suggestions.
"Je ne suis pas certains que ce genre de tests puissent reflèter la vraie protection offerte pas l'antivirus. " ils ont au moins le mérite de montrer la protection a un instant "T", car on ne se feras pas infecter sur du long terme, mais bien a un instant précis.
J'en profite pour te remercier sur ton travail, et ton site, ou tout est toujours explicite, et ou l'on se doute que tout cela prend du temps ;-)
Bonjour Malekal,
Ce topic est intéressant puisqu'il permet de comparer ton expérience et ta technique avec celles des testeurs d'URL.
Juste une petite suggestion pour ton site, peux tu te mettre un jour toi aussi à la vidéo... pour nous montrer dans le détail toute la chaîne d'une infection (ou deux), y compris le côté réseau visible dans TCP/IP de process explorer?
Cordialement
Ce topic est intéressant puisqu'il permet de comparer ton expérience et ta technique avec celles des testeurs d'URL.
Juste une petite suggestion pour ton site, peux tu te mettre un jour toi aussi à la vidéo... pour nous montrer dans le détail toute la chaîne d'une infection (ou deux), y compris le côté réseau visible dans TCP/IP de process explorer?
Cordialement
Malekal_morte-
Messages postés
180304
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 627
30 sept. 2011 à 15:18
30 sept. 2011 à 15:18
Il y a une vidéo sur la page en bas : https://www.malekal.com/java-exploit-en-augmentation-tdss-hiloti/
Mais y a pas la connexion établie.
C'est le pluggin exploité qui effectue la connexion.
Mais y a pas la connexion établie.
C'est le pluggin exploité qui effectue la connexion.
Utilisateur anonyme
23 sept. 2011 à 18:59
23 sept. 2011 à 18:59
ESET est bien.
ESET est vraiment très bien, très efficace et vraiment très complet, bien + que certains anti-virus habituelle car il contient un pare-feu et un anti-Malware. J'avais pleins de problèmes d'apparitions de pub internet intempestives et de virus Trojan qui arrivait à passer au travers de l'antivirus que j'avais, et comme par magie avec ESET tout à disparu aussitot son téléchargement et scan du PC effectué.
Par contre comme il est payant (normal c'est un très bon produit, la qualité ça se paie forcément...), après un mois gratuit à l'essai, je n'ai pas continuer (PC de mon boulot, je ne voulais pas payer pour eux quand meme), j'ai donc télécharger le dernier AVAST et en complément j'ai pris aussi Malwarebytes, compatibles et bon complément de tout les antivirus
Vous pouvez donc conserver Avast si vous le souhaitez et le compléter avec cet anti-pub et autres intusions éventuellement non décellable par AVAST, c'est plus sure et ça fonctionne bien comme ça. Bon courrage
Par contre comme il est payant (normal c'est un très bon produit, la qualité ça se paie forcément...), après un mois gratuit à l'essai, je n'ai pas continuer (PC de mon boulot, je ne voulais pas payer pour eux quand meme), j'ai donc télécharger le dernier AVAST et en complément j'ai pris aussi Malwarebytes, compatibles et bon complément de tout les antivirus
Vous pouvez donc conserver Avast si vous le souhaitez et le compléter avec cet anti-pub et autres intusions éventuellement non décellable par AVAST, c'est plus sure et ça fonctionne bien comme ça. Bon courrage
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
loumax91
Messages postés
3182
Date d'inscription
mardi 14 juin 2011
Statut
Contributeur sécurité
Dernière intervention
14 avril 2019
474
23 sept. 2011 à 18:59
23 sept. 2011 à 18:59
Voici un petit test, histoire de te donner une idée :
https://infomars.fr/forum/index.php?showtopic=3650#entry65518
https://infomars.fr/forum/index.php?showtopic=3650#entry65518
crackman2
Messages postés
1380
Date d'inscription
mercredi 21 septembre 2011
Statut
Membre
Dernière intervention
3 septembre 2015
191
23 sept. 2011 à 19:02
23 sept. 2011 à 19:02
je te donne mon avis avast me plais pas
1 norton ( ram bien grande)
2 nod32 ( eset smart)
3 kaspersky
4 avira
1 norton ( ram bien grande)
2 nod32 ( eset smart)
3 kaspersky
4 avira
À mon avis, les personnes sur ce forum ne se fient qu'à la vidéo postée et ignorent complètement que Norton et Kaspersky se font eux aussi avoir par beaucoup de spywares. Faux antivirus(rogue) ftw ^^
Ceux qui viennent le plus souvent au magasin pour des problèmes de spywares ont Kaspersky, avast ou un antivirus merdique du fournisseur internet. Certains disent qu'avast est plus efficace que nod32... Il est plus efficace.... pour donner des fausses alertes ;)
Ceux qui viennent le plus souvent au magasin pour des problèmes de spywares ont Kaspersky, avast ou un antivirus merdique du fournisseur internet. Certains disent qu'avast est plus efficace que nod32... Il est plus efficace.... pour donner des fausses alertes ;)
crackman2
Messages postés
1380
Date d'inscription
mercredi 21 septembre 2011
Statut
Membre
Dernière intervention
3 septembre 2015
191
23 sept. 2011 à 19:13
23 sept. 2011 à 19:13
j utilise kaspersky depuis 6 ans j ai jamais eu de problème
Certains s'en sortent très bien même sans antivirus, mais d'un autre côté, certains sont totalement pourris en informatique au point où ils pensent que tout ce que l'ordinateur peut faire c'est aller sur internet explorer et que s'ils n'ont plus accès à internet, RIEN ne marche dans l'ordinateur. Ces personnes vont s'infecter à coup sûr. J'avais pas dit que Kaspersky est l'antivirus que nous vendons le plus :) désolé
Tout ça pour dire qu'on revoit très peu souvent les clients qui achètent Nod32. Il est très facile d'utilisation aussi.
Tout ça pour dire qu'on revoit très peu souvent les clients qui achètent Nod32. Il est très facile d'utilisation aussi.
Bonjour,
Eset et loin d'etre efficace, faut arreter avec ça..La version 5 possède un moteur qui est une "évolution" de la version...2 qui date de 2005, essayer de la désinstaller avec l'outil maison sous 64 bits et vous allez voir c'est écris noir sur blanc NOD V2. Si la menace n'est pas détecter au niveau web, c'est mort la menace passeras, ce logiciel as une réputation excessive. Une image qui lui colle a la peau, comme avec Norton, quand je lis encore, il est lourd ce n'est plus la réalité. Kaspersky a pour lui sa défense pro-active que n'as pas Eset, certes cela ne protège pas de tout, mais au moins votre pc reste opérationnel le temps de la désinfection, pas avec Eset qui a un HIPS en carton. De plus le controle des applications de Kaspersky peux aider a bloquer un malware.
Le labo d'Eset est très très loin d'etre réactif contrairement a Kaspersky.
Bref je ne donnerais pas un seul Kaspersky pour 10 Nod32
Eset et loin d'etre efficace, faut arreter avec ça..La version 5 possède un moteur qui est une "évolution" de la version...2 qui date de 2005, essayer de la désinstaller avec l'outil maison sous 64 bits et vous allez voir c'est écris noir sur blanc NOD V2. Si la menace n'est pas détecter au niveau web, c'est mort la menace passeras, ce logiciel as une réputation excessive. Une image qui lui colle a la peau, comme avec Norton, quand je lis encore, il est lourd ce n'est plus la réalité. Kaspersky a pour lui sa défense pro-active que n'as pas Eset, certes cela ne protège pas de tout, mais au moins votre pc reste opérationnel le temps de la désinfection, pas avec Eset qui a un HIPS en carton. De plus le controle des applications de Kaspersky peux aider a bloquer un malware.
Le labo d'Eset est très très loin d'etre réactif contrairement a Kaspersky.
Bref je ne donnerais pas un seul Kaspersky pour 10 Nod32
Malekal_morte-
Messages postés
180304
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 627
Modifié par Malekal_morte- le 30/09/2011 à 11:12
Modifié par Malekal_morte- le 30/09/2011 à 11:12
J'ai joué un peu avec l'autre jour => https://www.malekal.com/nod32-version-5-survol-rapide/
La détection est très bonne mais pas infaillible.
Perso, je regrete que par rapport à Norton/BitDefender/Kaspersky 2012 - il n'y est pas de détection comportementale/heuristique à l'execution qui permet de bloquer + d'infection que la détection sur le code de fichiers.
Ca permettrait d'avoir un garde fou.
Donc j'ai quand mm perso une pref pour un des trois.
Ca reste un très bon antivirus dans tous les cas.
Donc l'acheter n'est pas vraiment un mauvais choix.
SHUT THE F*C*K UP, WE HAVE OTHER SONGS TOO !!
La détection est très bonne mais pas infaillible.
Perso, je regrete que par rapport à Norton/BitDefender/Kaspersky 2012 - il n'y est pas de détection comportementale/heuristique à l'execution qui permet de bloquer + d'infection que la détection sur le code de fichiers.
Ca permettrait d'avoir un garde fou.
Donc j'ai quand mm perso une pref pour un des trois.
Ca reste un très bon antivirus dans tous les cas.
Donc l'acheter n'est pas vraiment un mauvais choix.
SHUT THE F*C*K UP, WE HAVE OTHER SONGS TOO !!
Perso j'en ai aussi testé plusieurs antivirus les faux positifs avec eset de la 2.5 à la 5.0 j'en ai eu très peu quasi aucun...
J'ai arrêté Eset que j'ai beaucoup pour sa légerté en gaming c'est le top (pas 190mo d'update...), moins de 70me de ram en général mais déçu de leur faux cloud qui est en faite juste la réputation et un hips soit en auto qui est une passoire soit en interactif qui est inutilisable car trop de popup.
Pour instant je reste sur Webroot secureanywhere qui tourne bien :)
J'ai arrêté Eset que j'ai beaucoup pour sa légerté en gaming c'est le top (pas 190mo d'update...), moins de 70me de ram en général mais déçu de leur faux cloud qui est en faite juste la réputation et un hips soit en auto qui est une passoire soit en interactif qui est inutilisable car trop de popup.
Pour instant je reste sur Webroot secureanywhere qui tourne bien :)
Bonjour Dorgane,
Tu as raison, Eset a un faible impact sur le système...Mais pas mal d'éditeurs a la réputation de logiciels "lourds" ont optimisé leurs produits. Je reprend l'exemple de Kaspersky, a part un démarrage toujours un peu plus long, l'optimisation générale est très sensible.
Sur Smart Security 4.2 en faux positif j'ai eu du Iolo system mechanics, l'installeur étais détecter en cheval de troie, alors que je l'avais téléchargé chez l'éditeur...et quelques autres, souvenont nous de l'installeur d'avast 5 (je crois de mémoire), détecter en PUM.
Le cloud d'Eset ne connais meme pas ces propres installeur ^^ Fais un clic droit sur le .msi..et tu verras ;-)
Tu as raison, Eset a un faible impact sur le système...Mais pas mal d'éditeurs a la réputation de logiciels "lourds" ont optimisé leurs produits. Je reprend l'exemple de Kaspersky, a part un démarrage toujours un peu plus long, l'optimisation générale est très sensible.
Sur Smart Security 4.2 en faux positif j'ai eu du Iolo system mechanics, l'installeur étais détecter en cheval de troie, alors que je l'avais téléchargé chez l'éditeur...et quelques autres, souvenont nous de l'installeur d'avast 5 (je crois de mémoire), détecter en PUM.
Le cloud d'Eset ne connais meme pas ces propres installeur ^^ Fais un clic droit sur le .msi..et tu verras ;-)
Malekal_morte-
Messages postés
180304
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 627
Modifié par Malekal_morte- le 30/09/2011 à 12:26
Modifié par Malekal_morte- le 30/09/2011 à 12:26
Rhalala...
"Tester directement le dropper c'est mal, tu ne sais pas si en amont le kit est bloqué ou pas et si au final NOD32 protège l'internaute. "
=> cela me permet de voir la protection qu'offre le résident.
Ca ne sert à rien pris indépendemment.
Un antivirus c'est un tout et pas des bouts de modules qu'on test indépendemment des uns et des autres.
C'est bien pour cela que les tests avec des scans à la demande c'est débile, encore plus, maintenant avec les protections comportementales.
Quand tu es infecté, il y a un cheminement, l'antivirus a des modules différents qui sont utilisés pour protéger l'internaute pendant ce cheminement.
Si tu tests que des bouts pris au hasard, ça ne test rien au final et en renvoie que des résultats erronés.
Prendre indépendemment et tester un module un part un, c'est à mon sens pas bon pour les raisons que je t'ai donné (et en plus avec seulement 5 urls, c'est trop aléatoire).
Le but c'est de voir si l'internaute est protégé ou non.
Regarde ces deux captures, le Javascript sur le site hacké qui conduit vers l'exploit qui va télécharger et lancer le dropper est bloqué, du coup l'infection ne s'installe pas :
https://www.malekal.com/wp-content/uploads/NOD32_version_5_protection_web7.png
https://www.malekal.com/wp-content/uploads/NOD32_version_5_protection_web.png
Si tu tests directement le dropper il est peut-être pas détecté et pas bloqué et l'infection va s'installer.
Toi tu vas en déduire que NOD32 protège pas alors que l'internaute au final l'est.
Pareil pour mon exemple de site de cracks dans le cas que je t'ai donné ou pareil pour le faux codec.
Le dropper du faux codec, il va aller par un site de faux codec qui peux être blacklisté ou éventuellement les rotators en amont s'ils sont connus...
Si tu testes directement le dropper ça peux passer alors que l'internaute est protégé en amont.
Toi tu vas en déduire que NOD32 ne protège pas et bloque pas cette infection alors que c'est potentiellement le cas.
C'est sur cet aspect que je voulais t'interpeller.
SHUT THE F*C*K UP, WE HAVE OTHER SONGS TOO !!
"Tester directement le dropper c'est mal, tu ne sais pas si en amont le kit est bloqué ou pas et si au final NOD32 protège l'internaute. "
=> cela me permet de voir la protection qu'offre le résident.
Ca ne sert à rien pris indépendemment.
Un antivirus c'est un tout et pas des bouts de modules qu'on test indépendemment des uns et des autres.
C'est bien pour cela que les tests avec des scans à la demande c'est débile, encore plus, maintenant avec les protections comportementales.
Quand tu es infecté, il y a un cheminement, l'antivirus a des modules différents qui sont utilisés pour protéger l'internaute pendant ce cheminement.
Si tu tests que des bouts pris au hasard, ça ne test rien au final et en renvoie que des résultats erronés.
Prendre indépendemment et tester un module un part un, c'est à mon sens pas bon pour les raisons que je t'ai donné (et en plus avec seulement 5 urls, c'est trop aléatoire).
Le but c'est de voir si l'internaute est protégé ou non.
Regarde ces deux captures, le Javascript sur le site hacké qui conduit vers l'exploit qui va télécharger et lancer le dropper est bloqué, du coup l'infection ne s'installe pas :
https://www.malekal.com/wp-content/uploads/NOD32_version_5_protection_web7.png
https://www.malekal.com/wp-content/uploads/NOD32_version_5_protection_web.png
Si tu tests directement le dropper il est peut-être pas détecté et pas bloqué et l'infection va s'installer.
Toi tu vas en déduire que NOD32 protège pas alors que l'internaute au final l'est.
Pareil pour mon exemple de site de cracks dans le cas que je t'ai donné ou pareil pour le faux codec.
Le dropper du faux codec, il va aller par un site de faux codec qui peux être blacklisté ou éventuellement les rotators en amont s'ils sont connus...
Si tu testes directement le dropper ça peux passer alors que l'internaute est protégé en amont.
Toi tu vas en déduire que NOD32 ne protège pas et bloque pas cette infection alors que c'est potentiellement le cas.
C'est sur cet aspect que je voulais t'interpeller.
SHUT THE F*C*K UP, WE HAVE OTHER SONGS TOO !!
"C'est sur cet aspect que je voulais t'interpeller." tu fais bien ;-)
Le problème de tout cela et, je pense, de raisonner seulement en tant qu'internaute.
Meme si l'on es d'accord que le web est le principal vecteur d'infection.
Pourquoi cela?
Un exemple, un ami a recycler un de ces vieux hdd en disque externe il y'avait une menace qui installe un rootkit a l'intérieur, hop infecté. Alors, c'est vrai, cas peut etre isolé, mais n'aurais t'il pas du etre protégé par le résident de sa protection? je pense que si.
"(et en plus avec seulement 5 urls, c'est trop aléatoire). " je partage cette avis, et généralement j'en prend plus, le dernier en date d'eset était avec 30 urls
Le problème de tout cela et, je pense, de raisonner seulement en tant qu'internaute.
Meme si l'on es d'accord que le web est le principal vecteur d'infection.
Pourquoi cela?
Un exemple, un ami a recycler un de ces vieux hdd en disque externe il y'avait une menace qui installe un rootkit a l'intérieur, hop infecté. Alors, c'est vrai, cas peut etre isolé, mais n'aurais t'il pas du etre protégé par le résident de sa protection? je pense que si.
"(et en plus avec seulement 5 urls, c'est trop aléatoire). " je partage cette avis, et généralement j'en prend plus, le dernier en date d'eset était avec 30 urls
Malekal_morte-
Messages postés
180304
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 627
30 sept. 2011 à 12:54
30 sept. 2011 à 12:54
Je vois ce que tu veux dire.
Mais y a protection WEB, dropper d'infection qui va par le WEB et vers par médias amovibles.
Dans le cas que tu donnes, ça doit être une infection par disques amovibles.
Le résident entre en jeu je suis d'accord, que s'il est pas détecté potentiellement y a des chances que l'infection s'installe sur l'ordinateur (mais c'est pas certains car le autorun.inf peux être détecté).
Bien que si le vers va télécharger le payload sur le WEB, la protection WEB entre en jeu.
Je voulais pas non plus dire que le résident sert à rien.
Mais faut tenir compte : du type d'infection et de la manière dont l'infection se propage pour tester à tous les étages, et si l'AV bloque ceci, ça veux pas du tout dire qu'il bloque cela et inversement.
Là tu extrapolles tes résultats des détections de droppers WEB pour parler des vers par médias amovibles.
Si les droppers WEB sont pas détectés, alors NOD32 est nul alors les vers par médias amovibles ne seront pas détectés.
Un exploit ça se test à partir du site hacké pour tester toute la chaine, les faux codecs aussi.
Qu'est ce que tu en à faire que le dropper final de l'exploit est bloqué, si l'antivirus excelle dans la détection des javascript et ou suit les kits et les bloquent ?
Ce n'est pas les mm infections qui sont présentes par WEB - en général, des rogues ou du Zaccess actuellement.
La stratégie de l'AV est peut-être de blacklister les URLS et/ou bloquer les infections WEB par exploit au niveau des JavaScript malicieux et de laisser couler le reste.
Ils peuvent se le permettre s'ils savent que ça sera bloque en amont.
Car ils savent très bien que ça sert à rien de courrir après le dropper qui est peut-être compilé à la volée ou qui est mis à jour toutes les x minutes, c'est l'avantage de ces infections.
Et si ceux là ne sont pas détectés, ca ne veux pas dire qu'une infection par disques amovibles ne le sera pas, ou inversement, s'ils bloquent les droppers par WEB, il sera bon par médias amovibles.
Il y a des familles spécifiques, ravmon, vobfus, des rats ou brifrose à la con, les infections MSN) ne seront pas détectées.
Peuvent se concentrer la dessus.
Et tu peux très bien avoir une détection générique sur ces familles qui fait bien son boulot ou les crypters maisons utilisés qui seront pas les mm que ceux du WEB car pas les mm groupes derrières ou peuvent protéger en détectant le autorun.inf
Tu as exactement la mm chose avec les campagnes malicieuses par mail.
Les m*rdes qui sont en pièce joint zippés en général, elles sont super bien détectés.
Mais y a protection WEB, dropper d'infection qui va par le WEB et vers par médias amovibles.
Dans le cas que tu donnes, ça doit être une infection par disques amovibles.
Le résident entre en jeu je suis d'accord, que s'il est pas détecté potentiellement y a des chances que l'infection s'installe sur l'ordinateur (mais c'est pas certains car le autorun.inf peux être détecté).
Bien que si le vers va télécharger le payload sur le WEB, la protection WEB entre en jeu.
Je voulais pas non plus dire que le résident sert à rien.
Mais faut tenir compte : du type d'infection et de la manière dont l'infection se propage pour tester à tous les étages, et si l'AV bloque ceci, ça veux pas du tout dire qu'il bloque cela et inversement.
Là tu extrapolles tes résultats des détections de droppers WEB pour parler des vers par médias amovibles.
Si les droppers WEB sont pas détectés, alors NOD32 est nul alors les vers par médias amovibles ne seront pas détectés.
Un exploit ça se test à partir du site hacké pour tester toute la chaine, les faux codecs aussi.
Qu'est ce que tu en à faire que le dropper final de l'exploit est bloqué, si l'antivirus excelle dans la détection des javascript et ou suit les kits et les bloquent ?
Ce n'est pas les mm infections qui sont présentes par WEB - en général, des rogues ou du Zaccess actuellement.
La stratégie de l'AV est peut-être de blacklister les URLS et/ou bloquer les infections WEB par exploit au niveau des JavaScript malicieux et de laisser couler le reste.
Ils peuvent se le permettre s'ils savent que ça sera bloque en amont.
Car ils savent très bien que ça sert à rien de courrir après le dropper qui est peut-être compilé à la volée ou qui est mis à jour toutes les x minutes, c'est l'avantage de ces infections.
Et si ceux là ne sont pas détectés, ca ne veux pas dire qu'une infection par disques amovibles ne le sera pas, ou inversement, s'ils bloquent les droppers par WEB, il sera bon par médias amovibles.
Il y a des familles spécifiques, ravmon, vobfus, des rats ou brifrose à la con, les infections MSN) ne seront pas détectées.
Peuvent se concentrer la dessus.
Et tu peux très bien avoir une détection générique sur ces familles qui fait bien son boulot ou les crypters maisons utilisés qui seront pas les mm que ceux du WEB car pas les mm groupes derrières ou peuvent protéger en détectant le autorun.inf
Tu as exactement la mm chose avec les campagnes malicieuses par mail.
Les m*rdes qui sont en pièce joint zippés en général, elles sont super bien détectés.
Malekal_morte-
Messages postés
180304
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 627
30 sept. 2011 à 13:02
30 sept. 2011 à 13:02
Je sais pas si je serai super dispo à ces heurex mais bon je répondrai :)
"Dans le cas que tu donnes, ça doit être une infection par disques amovibles.
Le résident entre en jeu je suis d'accord, que s'il est pas détecté potentiellement y a des chances que l'infection s'installe sur l'ordinateur (mais c'est pas certains car le autorun.inf peux être détecté).
Bien que si le vers va télécharger le payload sur le WEB, la protection WEB entre en jeu.
Je voulais pas non plus dire que le résident sert à rien."
Petite précision, non ce n'étais pas par autorun, il a copier/coller un .exe qui se trouver sur son hdd (il ne se rappeler plus de quel logiciel il s'agissait) et a executer le .exe^^.
Le résident entre en jeu je suis d'accord, que s'il est pas détecté potentiellement y a des chances que l'infection s'installe sur l'ordinateur (mais c'est pas certains car le autorun.inf peux être détecté).
Bien que si le vers va télécharger le payload sur le WEB, la protection WEB entre en jeu.
Je voulais pas non plus dire que le résident sert à rien."
Petite précision, non ce n'étais pas par autorun, il a copier/coller un .exe qui se trouver sur son hdd (il ne se rappeler plus de quel logiciel il s'agissait) et a executer le .exe^^.
Utilisateur anonyme
30 sept. 2011 à 17:07
30 sept. 2011 à 17:07
je plussois Malekal
un exemple tout bete le cas de xvid.exe faux codec bien connus, le site du malware est bloqué mais le malware est updater tout les jours quasiment, c'est bien plus "simple" de bloquer le site que faire une update du malware tout les jours (rien empêche cependant) mais la protection reste la même malware pas détecter mais pas possible d'aller le télécharger ...
un exemple tout bete le cas de xvid.exe faux codec bien connus, le site du malware est bloqué mais le malware est updater tout les jours quasiment, c'est bien plus "simple" de bloquer le site que faire une update du malware tout les jours (rien empêche cependant) mais la protection reste la même malware pas détecter mais pas possible d'aller le télécharger ...
Malekal_morte-
Messages postés
180304
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 627
Modifié par Malekal_morte- le 1/10/2011 à 12:33
Modifié par Malekal_morte- le 1/10/2011 à 12:33
Ce n'est pas possible.
T'as un minimum de centralisation vers un lien central (qui peux éventuellement être plusieurs domaines différents donc plusieurs liens) mais au final, certains sites de streaming pointeront sur l'un, d'autres sur l'autre et l'antivirus devrait ajouter les deux.
C'est comme ça car ça marche par un système d'affiliation, donc t'es obligé d'avoir des liens avec des ID pour savoir quel affilié c'est pour que la régie au final rémunère l'affilié au clic.
Ce que je veux dire, c'est qu'un site streaming peux pas s'amuser à prendre le .exe et l'héberger.
Après c'est sûr que si on reprend ton cas d'avant, si l'installeur est téléchargé par un qui le file à un autre (genre disque dur externe) et que le gars ouvre l'exe, il peux l'installer....
Mais bon, ça reste anodin, l'arnaque reposant sur le fait que les pubs se font passer pour des activex ou des messages Firefox (barre jaune)
et l'installeur est bien détecté.... genre 24/42 sur VirusTotal, le prb c'est que des AV comme AVG ou Avast! le détecte en LPI or les détections LPI sur le guard ne sont pas activées par défaut....
Du coup, l'AV warn pas.
T'as un minimum de centralisation vers un lien central (qui peux éventuellement être plusieurs domaines différents donc plusieurs liens) mais au final, certains sites de streaming pointeront sur l'un, d'autres sur l'autre et l'antivirus devrait ajouter les deux.
C'est comme ça car ça marche par un système d'affiliation, donc t'es obligé d'avoir des liens avec des ID pour savoir quel affilié c'est pour que la régie au final rémunère l'affilié au clic.
Ce que je veux dire, c'est qu'un site streaming peux pas s'amuser à prendre le .exe et l'héberger.
Après c'est sûr que si on reprend ton cas d'avant, si l'installeur est téléchargé par un qui le file à un autre (genre disque dur externe) et que le gars ouvre l'exe, il peux l'installer....
Mais bon, ça reste anodin, l'arnaque reposant sur le fait que les pubs se font passer pour des activex ou des messages Firefox (barre jaune)
et l'installeur est bien détecté.... genre 24/42 sur VirusTotal, le prb c'est que des AV comme AVG ou Avast! le détecte en LPI or les détections LPI sur le guard ne sont pas activées par défaut....
Du coup, l'AV warn pas.
"Après c'est sûr que si on reprend ton cas d'avant, si l'installeur est téléchargé par un qui le file à un autre (genre disque dur externe) et que le gars ouvre l'exe, il peux l'installer.... "
C'est un peu a quoi je pensé dans l'esprit....Ou hébergé sur un autre site ...En tous cas dans ton "survol" de Smart Security 5, le Drooper non détecter, l'étais a l'execution ou pas?
C'est un peu a quoi je pensé dans l'esprit....Ou hébergé sur un autre site ...En tous cas dans ton "survol" de Smart Security 5, le Drooper non détecter, l'étais a l'execution ou pas?
Malekal_morte-
Messages postés
180304
Date d'inscription
mercredi 17 mai 2006
Statut
Modérateur, Contributeur sécurité
Dernière intervention
15 décembre 2020
24 627
1 oct. 2011 à 22:47
1 oct. 2011 à 22:47
L'url était bloquée, je crois de mémoire, du coup, je ne suis pas allé plus loin.
Pis bon la détection, je le connais, elle est relativement bonne, regarde : http://www3.malekal.com/malwares/index.php?&url=fivemillionfriends.com
Je doute que NOD32 ne le détecte pas :)
Après je sais pas si ça necessite d'activer les LPI, vu que c'est en adware, je dirai que non mais à voir.
Pis bon la détection, je le connais, elle est relativement bonne, regarde : http://www3.malekal.com/malwares/index.php?&url=fivemillionfriends.com
Je doute que NOD32 ne le détecte pas :)
Après je sais pas si ça necessite d'activer les LPI, vu que c'est en adware, je dirai que non mais à voir.
