 |
 |
 |
 |
 |
|
Antwort
|
|
|
Registriert seit: 8. Okt 2010 Ort: Frankfurt am Main 1.234 Beiträge |
#1
AW: Windows und Virenwächter
25. Jul 2022, 23:19
Das grundlegende Problem bei den "Virenwächtern" ist imho, dass sie meist mit hohen Rechten laufen, und sehr komplex sind. Man hat also eine stark fehleranfällige Software mit sehr weitgehenden Rechten am Laufen, die ein Angreifer entsprechend ausnutzen kann, und dann schlimmstenfalls mit diesen hohen Rechten Schaden anrichten kann. Es gibt auch immer wieder mal Berichte über entsprechende Lücken in Antiviren-Software, die als Einfallstor für Malware genutzt werden (könnten).
Komplex, und vor allem ist es Software die jede Menge Dateien (bzw. Dateiformate, teils auch schlecht oder überhaupt nicht dokumentierte) als Eingaben frißt und das bei hohen Rechten. Je nach Software wird nicht alles mit allerhöchsten Rechten gemacht, aber manches ist auch komplett sinnbefreit. Bspw. gibt es absolut keinen Grund warum ein On-Access-Scanner (OAS) Archive behandeln sollte. Keinen. Angenommen man könnte Archive wirklich als Laufwerke einhängen (also nicht ZIP Folders, das ist nur ne Shell-Erweiterung), würde sich ohnehin eine Instanz des OAS da reinhängen und transparent die Inhalte "sehen". Ganz schlimm finde ich so Komplett-Internet-Security-Pakete, die sich auch mal gerne in die SSL-Verschlüsselung einklinken und damit effektiv den Schutz verringern.
Mir reicht der Windows Defender vollkommen aus. Zusätzliche Software, die im System rumpfuscht, braucht man meines Erachtens nach nicht.
 Ich teile die Empfehlung zu Defender. Und gerade wer argumentiert Microsoft könne man nicht trauen, weshalb es unbedingt AV-Produkt XYZ® mit Glöckchen™ und Schellen® sein soll, sollte noch einmal in sich gehen und sich überlegen auf welchem Betriebssystem er das tut, dann ggf. auf eine Alternative wechseln, oder sein "Argument" wieder runterschlucken. Der Windows Defender ist, wenn man nur auf die Erkennung bekannter Viren schaut, gar nicht schlecht.
Leider ist die Performance weniger gut, was man insbesondere beim Kompilieren mit Delphi gut merkt. Das klappt mit Norton deutlich schneller.
Vermutlich hat Norton da einfach ne bessere Heuristik um den Compiler zu erkennen und macht das dann von sich aus. Gerade das wiederum wäre für mich eher ein Negativmerkmal. Aber so unterscheiden sich halt die Anforderungen. Und diese Information kann man nicht mit "dem gesunden Menschenverstand" ermitteln, den ja einige als Alternative zu Antivirentools anpreisen.
So habe ich bereits zweimal bemerkt, dass die Server des jeweiligen Herstellers kompromittiert waren und Viren verteilt haben. Ein Scan mit Virustotal hat erst Tage später bei einer breiteren Mehrheit an Tools bei den heruntergeladenen Dateien angeschlagen.
Ich habe absichtlich von Erkennungen geschrieben. Denn diese sind es die sich verbreiten. Wenn nun Norton bspw. merkt (sei es durch Rückmeldung des jeweiligen Softwareherstellers [ISV] oder auch anders), daß es sich um eine Fehlerkennung (false positive) handelt, ist das Kind meist schon in den Brunnen gefallen. Bis dahin haben andere es auf Basis der Ersterkennung von Norton bereits in Erkennung genommen und da ist der Schneeball im Rollen. Da es keine industrieweite einheitliche Methode gibt Fehlalarme untereinander zu kommunizieren, darf der daraufhin jeden einzelnen der gelisteten AV-Hersteller anschreiben und um Entfernung der Erkennung bitten. Dabei gilt meistens die Beweislastumkehr (ISV darf Harmlosigkeit der Software beweisen) und meist hat man es mit uneinheitlichen Web-Formularen zu tun, einige erfordern die Eingabe persönlicher Daten (und wollen ohne nicht abgeschickt werden) oder man muß Emails schicken. Und dann ist noch nicht klar ob die aus der Erkennung genommen werden. Und je nach Hersteller kann eine zuvor rausgenommene Erkennung solange wieder reingenommen werden wie andere weiterhin fälschlich behaupten Sample soundso sei böse. Da ist es für den ISV vielfach einfacher die Software nach kleiner Änderung neu zu bauen und zu hoffen, daß diesmal keine Fehlerkennung stattfindet. Wer weiß hinter welchem AV-Produkt welche Engine(s) werkelt, kann sich ein wenig Aufwand sparen; aber manche AV-Produkt-Hersteller ohne eigene Engine packen auch ihre eigenen Regeln/Signaturen rein. Und Erkennung ist immer Engine + Regeln. Deshalb werde ich privat sicher weiter auf Norton setzen.
[...] wobei dabei diverse Konkurrenzprodukte auch nicht gerade glänzen.
Meist kann man dies aber durch sinnvolle Ausnahmen beheben, z.B. dass man die Verzeichnisse mit Sourcecode nicht scannen lässt.
Generell sind Virenscanner nervig, weil sie sich unnötig in den Vordergrund drängen, um dem User zu zeigen, wie wichtig sie doch sind, er könnte sie ja sonst vergessen, wenn sie einfach nur ihre Arbeit tun. Der Defender ist dahingehend OK.
Kleine, recht aktuelle Übersicht...
 https://www.av-test.org/de/antivirus/privat-windows/Übrigens AV-Tester sind es bspw. die den oben genannten Unfug mit Archiven im OAS erzwingen. Dank teils bescheuerter Testsetups. Andere sind wiederum recht clever. Und manche Tester sind sogar recht gut und haben sehr viel Know-How und daher aus meiner Sicht viel Reputation. Aber wie geschrieben: jedem Tester sollte man nicht glauben. So wie man bei der Stiftung Warentest auch die Methoden durchlesen und dann ggf. die Gewichtung der Einzelpunkte für sich selbst korrigieren sollte. Wenn du aber etwas Ahnung vom PC hast, bist du selber der beste Vierenschutz, wenn du nicht alles und jedes Programm ohne Überlegen startest.
Wenn ein Server kompromittiert ist, hast du keinerlei Möglichkeit dies ohne die genannte Information der geringen Verbreitung festzustellen. Im Zweifel heißt es: lieber nicht anklicken. Richtig. Aber das Vertrauen welches die Leute in AV-Hersteller haben wird von denen mittlerweile weidlich ausgenutzt. Und gerade bei Norton (damals Symantec) ist mir bitter aufgestoßen daß meine gesamte Seite mehrfach von denen als bösartig gelistet wurde, weil einzelne Programme (übrigens quelloffen mit beiliegendem Quelltext) als bösartig erkannt wurden. Nun, erst einmal behaupte ich daß die nicht bösartig waren. Mit gleichem Recht könnte man ein Warenkaufhaus dichtmachen, weil es eine Abteilung hat in der Küchenmesser oder Baumarktartikel verkauft werden. Die korrekte Einordnung war und ist PUA/PUS (potentially unwanted application/software). Also Software bei der von einer Bösartigkeit pauschal nicht die Rede sein kann. Aber Nuancen kennen diese selbsternannten modernen Internetpolizisten nicht. Genau wie sie offenbar nicht einzelne URLs, sondern nur ganze Domänennamen inklusive Unterdomänen blockieren können. Das nervt! Und dann gibt es noch ne Menge Schlaubi-Schlümpfe die sich bar jeder eigenen Fachkenntnis diese "Einschätzung" der Bösartigkeit von "reputablen Anbietern" für ihre eigenen Dienste borgen. Da wird es dann noch bizarrer, weil diese Leute mit fachlichen Argumenten nix anzufangen wissen. Die behaupten einfach basierend auf der Einschätzung anderer die Bösartigkeit und könnten, würde man ihnen ne Schußwaffe an die Stirn halten, beim besten Willen nicht einmal erklären was eine PE-Datei ist. Im Glücksfall wird man dann an Leute von der eigentlichen Quelle der "Einschätzung" durchgereicht. Aber das alles kostet viel Nerven und Lebenszeit. Kein Wunder daß diese ganzen werbeverseuchten Webseiten mit "gutem Leumund" inzwischen das Web dominieren, wenn kleine unabhängige Webseitenbetreiber auf diese Weise kaltgestellt werden. Wenn man für sich selbst (oder als Admin für seine Firma) entscheidet ob man einem bestimmten Hersteller mehr oder weniger vertraut, hat das eben eine andere Reichweite als wenn man damit einen Dienst hochzieht und anbietet der Urteile über Webseiten fällt ohne daß man selbst auch nur ansatzweise fachlich in der Lage ist eine Beweisführung über die Behauptung anzutreten. Zum Glück für diese -- sagen wir mal -- Anbieter, ist das Internet in dieser Hinsicht in der Tat ein rechtsfreier Raum. Rufmord durch Internetpolizisten ist sogar en vogue. Wenn du per Default kein JS ausühren lässt (uMartix), sollte das kein Problem sein.
Aber wer auf seinem Server überhaupt solche Downloads aus nicht vorher geprüften Quellen ausführt, hat ganz andere Probleme! Schon von SRP und AppLocker gehört? Und dann halt Silos/AppContainer auf modernen Windowsversionen ...
Oliver
"... aber vertrauen Sie uns, die Physik stimmt." (Prof. Harald Lesch) Geändert von Assarbad (25. Jul 2022 um 23:29 Uhr) |
Zitat
|
|
Registriert seit: 6. Apr 2011 Ort: Berlin 3.075 Beiträge Delphi 10.4 Sydney |
#2
AW: Windows und Virenwächter
26. Jul 2022, 11:40
@Assarbad: Vielen Dank für diesen fundierten und ausführlichen Beitrag, nur bei der Stelle hier:
Jupp, aber wenn alle so denken würden wie du, wären alle AV-Hersteller pleite.
 Im Ernst, dann suchen sich die Leute halt andere Jobs. Nur weil "...aBeR dIe aRBeiTsPlÄtZe...", dass ist doch keine gute Begründung. |
|
Zitat
|
|
Registriert seit: 8. Okt 2010 Ort: Frankfurt am Main 1.234 Beiträge |
#3
AW: Windows und Virenwächter
1. Aug 2022, 08:03
Jupp, aber wenn alle so denken würden wie du, wären alle AV-Hersteller pleite.
Im Ernst, dann suchen sich die Leute halt andere Jobs. Nur weil "...aBeR dIe aRBeiTsPlÄtZe...", dass ist doch keine gute Begründung. Das hat mich nun einmal interessiert. Ich habe daher eine der zu kompilierenden Dateien extern mit Viruscode manipuliert, dann Windows und Delphi wieder gestartet. Die Datei wurde dann beim Kompilieren von Norton erkannt.
Deine Vermutung ist also nicht korrekt. Die Analyse der Dateien ist einfach nur schneller, wird aber durchaus korrekt durchgeführt. Woher soll ich das denn erkennen?
Aber du scheinst einen sehr verengten Blick auf das zu haben was den gesunden Menschenverstand im Themenkomplex bösartiger Software angeht. Klar, es gibt einige Quellen, die zusätzlich Hashwerte zu den Downloads anbieten, aber das sind ja nun einmal nicht viele.
Aber Hashwerte ohne Signatur sind eigentlich auch Moppelkotze, weil du's dann ja wieder mit einem manipulierten/kompromittierten Server zu tun haben könntest. Bei einer kryptographisch sicheren Signatur müßte auch noch der geheime Schlüssel des Unterzeichners kompromittiert sein. Da du schreibst, dass ich eine solche serverseitige Manipulation auch mit dem gesunden Menschenverstand erkennen könnte, wäre interessant wie genau.
Der gesunde Menschenverstand beschränkt sich übrigens nicht auf das Erkennen bösartiger Software, sondern setzt deutlich früher an. Dazu gehören diverse passive und aktive Abwehrmaßnahmen, die sich je nach OS, Browser usw. jeweils anders gestalten können. Davon habe ich doch gar nicht gesprochen. Ich rede davon, dass ich auf meinem Desktop einen Download von einem eigentlich vertrauenswürdigen Server lade, der aber auf dem Server durch einen Virus befallen wurde.
Apropos, WinGet kann hier zumindest teilweise durch die Prüfung von Hashwerten helfen. Kommt natürlich auch immer darauf an was wann wie kompromittiert wurde, falls dies das Bedrohungsszenario ist (beim Absichern arbeitet man ja immer gegen ein Bedrohungsszenario). Und genau das kann ich durch Norton erkennen.
Gedankenspiel: Norton vermasselt es einmal und läßt etwas durch. Du bemerkst es -- egal ob noch früh genug oder bei der Nachbereitung eines größeren Ausfalls durch die nicht erfolgte Erkennung -- was tust du? Die Wahrscheinlichkeit, daß du auf Norton fluchen, dies vielleicht auch öffentlich tun und dann das Produkt wechseln würdest ist groß. Denn es bedarf nur einer Enttäuschung um über lange Zeit aufgebautes Vertrauen zu verspielen. Dabei wäre das ziemlich unfair ggü. dem Produkt von Norton. Denn wie alle Hersteller kocht auch Norton nur mit Wasser, wie man so schön sagt. Daß es von der Erkennungsleistung bei dir besser paßt, ist doch wunderbar. Schrieb ich ja schon. Ich will dir das auch überhaupt nicht madig machen (es gab echte technische Gründe bis vor wenigen Jahren von Trend Micro abzuraten, aber ansonsten nehmen sich die meisten Produkte nicht viel und man sollte es nach Gusto und Geldbeutel entscheiden). Aber die hier so gut passende Erkennungsleistung kann an allem möglichen liegen und erhöhte Erkennung bedeutet eigentlich auch immer erhöhter Anteil an Fehlerkennungen. Norton hat also behauptet daß dein Download bösartig sei und hat ihn dann vermutlich selbständig gelöscht. Wie hast du denn diese Aussage überprüft? Bzw. wie lauteten die Erkennungsnamen? Gibt da ja so einige Muster, wie ich schon oben beschrieb. Entweder könnte es ein simpler Fall von PUA/PUS sein und dir war das egal und du gingst lieber auf Nummer sicher (wäre dann aber kein Fall von bösartig), oder -- kommt auch regelmäßig vor -- es ist eine Erkennung die auf einem bestimmten Obfuscator/Protector (o.ä.) basierend entsteht. Wir haben das in der Firma bspw. im Zusammenhang von einem bestimmten Programm von uns mit Themida-Behandlung (bei bestimmten Einstellungen). Die Fehlerkennung lautet dann immer auf den gleichen Erkennungsnamen. Aber die wird dadurch nicht weniger Fehlerkennung. Kann natürlich auch eine echte Erkennung und ein echt kompromittierter Server gewesen sein. Aber in dem Fall solltest du deine Definition von Vertrauenswürdigkeit überdenken. Ich selbst habe diese Form von Kompromittierung auf Serverseite noch nicht erster Hand erlebt, dafür aber unzählige Male daß jemand eine Kompromittierung behauptet hat, es sich dabei aber ein ums andere Mal um eine Fehlerkennung handelte (läßt sich bspw. anhand existierender Hashlisten unter Versionskontrolle und mit Signatur wunderbar nachweisen). Bei den beiden genannten Beispielen wurde hinterher auch bekannt, dass die Server kompromittiert wurden. Es war kein (!) False Positive, zumal das auch ein großer Zufall gewesen wäre...
).Deiner Beschreibung nach klingt es vor allem so als hätte Norton entweder eine deutlich bessere Heuristik bzw. verhaltensbasierte Erkennung (was sich aber mit der behaupteten Performance beißt) oder deren Produkt telefoniert einfach häufiger heimwärts und erreicht dadurch eine bessere "statische" Live-Erkennung. Letzteres ist wahrscheinlicher und wer's mag, dem sei's gegönnt. (Einschub: MS selber telefoniert eine Menge selber heimwärts, es sei denn man zieht "die Handbremse" an und drosselt das gehörig. MS schickt aber auch Telemetrie welche die anderen AVs erzeugen an sich selbst und aggregiert die und gibt die als Zuckerli wieder an die AV-Hersteller raus, wenn die die Vorgaben von MS besonders gut einhalten.)
Oliver
"... aber vertrauen Sie uns, die Physik stimmt." (Prof. Harald Lesch) Geändert von Assarbad ( 1. Aug 2022 um 08:12 Uhr) |
|
Zitat
|
Registriert seit: 10. Jun 2003 Ort: Berlin 9.989 Beiträge Delphi 12 Athens |
#4
AW: Windows und Virenwächter
1. Aug 2022, 21:21
Und genau diese Technikgläubigkeit ist es, welcher der gesunde Menschenverstand deutlich überlegen ist.
Ich installiere immer wieder auch Software, die weder signiert ist noch Hashwerte irgendwo auflistet. Da hilft mir kein nachdenken oder nachschauen. Gar nicht. Wie gesagt, es sei denn der Virus ist so dumm, sich durch sein Verhalten zu verraten. Deiner Beschreibung nach klingt es vor allem so als hätte Norton entweder eine deutlich bessere Heuristik bzw. verhaltensbasierte Erkennung (was sich aber mit der behaupteten Performance beißt) oder deren Produkt telefoniert einfach häufiger heimwärts und erreicht dadurch eine bessere "statische" Live-Erkennung. Letzteres ist wahrscheinlicher und wer's mag, dem sei's gegönnt.
|
|
Zitat
|
|
Registriert seit: 8. Okt 2010 Ort: Frankfurt am Main 1.234 Beiträge |
#5
AW: Windows und Virenwächter
1. Aug 2022, 21:26
Dann paßt es doch
Oliver
"... aber vertrauen Sie uns, die Physik stimmt." (Prof. Harald Lesch) |
|
Zitat
|
|
Registriert seit: 10. Jun 2003 Ort: Berlin 9.989 Beiträge Delphi 12 Athens |
#6
AW: Windows und Virenwächter
26. Jul 2022, 23:00
Leider ist die Performance weniger gut, was man insbesondere beim Kompilieren mit Delphi gut merkt. Das klappt mit Norton deutlich schneller.
Vermutlich hat Norton da einfach ne bessere Heuristik um den Compiler zu erkennen und macht das dann von sich aus. Gerade das wiederum wäre für mich eher ein Negativmerkmal. Aber so unterscheiden sich halt die Anforderungen. Deine Vermutung ist also nicht korrekt. Die Analyse der Dateien ist einfach nur schneller, wird aber durchaus korrekt durchgeführt. Und diese Information kann man nicht mit "dem gesunden Menschenverstand" ermitteln, den ja einige als Alternative zu Antivirentools anpreisen.
Da du schreibst, dass ich eine solche serverseitige Manipulation auch mit dem gesunden Menschenverstand erkennen könnte, wäre interessant wie genau. Da habe ich leider keine Idee, wenn der Virus nicht gerade so dumm geschrieben ist, dass er beim Ausführen des Setups erkennbar ist. Wenn du per Default kein JS ausühren lässt (uMartix), sollte das kein Problem sein.
Aber wer auf seinem Server überhaupt solche Downloads aus nicht vorher geprüften Quellen ausführt, hat ganz andere Probleme! Schon von SRP und AppLocker gehört? Und dann halt Silos/AppContainer auf modernen Windowsversionen ... Bei den beiden genannten Beispielen wurde hinterher auch bekannt, dass die Server kompromittiert wurden. Es war kein (!) False Positive, zumal das auch ein großer Zufall gewesen wäre... |
|
Zitat
|
|
Registriert seit: 28. Mai 2008 703 Beiträge Delphi 10.1 Berlin Starter |
#7
AW: Windows und Virenwächter
28. Jul 2022, 10:42
Gut hören kann ich schlecht, schlecht sehen kann ich gut - Ersteres stimmt nicht, das zweite schon.
|
|
Zitat
|
|
Registriert seit: 10. Jun 2003 Ort: Berlin 9.989 Beiträge Delphi 12 Athens |
#8
AW: Windows und Virenwächter
28. Jul 2022, 18:45
Dass Avira die Billigmarke von Norton ist, finde ich interessant.
|
|
Zitat
|
ForumregelnEs ist dir nicht erlaubt, neue Themen zu verfassen.
Es ist dir nicht erlaubt, auf Beiträge zu antworten.
Es ist dir nicht erlaubt, Anhänge hochzuladen.
Es ist dir nicht erlaubt, deine Beiträge zu bearbeiten.
BB-Code ist an.
Smileys sind an.
[IMG] Code ist an.
HTML-Code ist aus. Trackbacks are an
Pingbacks are an
Refbacks are aus
|
|
Hybrid-Darstellung
