[转贴]杀毒软件背后的黑幕中国最严重的信息安全问题

abcd0069

转自嬴政

翻开2004年第18期《大众软件》，那个杀毒软件市场占有率排名让我百感交集：毒霸38%瑞星29%，Norton14%，KV11%......，不要以为这只是几个简单的数字，这后面有太多的故事，一时，竟不知从何讲起。这样，我们先看看各个杀毒软件的真实能力。（本评测中KV指KV2004）
一、病毒库
这些年头看过许多评测，有民间的也有媒体的，几乎都是以病毒库是否全面为依据。这是非常不科学的！暂且不说别的因素，我认为用杀毒软件对一堆病毒木马一通乱杀最后仅仅以检出率论英雄，是一种对读者不负责的数字游戏。
举两个最简单的例子，你有用过Norton去杀黑洞2004吗？不说别的，就说最有影响力的0815版，Norton也是怎么杀也杀不出。这完全不是什么巧合，Norton如果杀n年前的经典木马冰河84，也还是杀得出来的，只是会在隔离区里加上两个字作注释——罕见......
Norton是一个非常典型的例子，因为在这个方面的问题Norton是最明显的。不过其它的外国杀毒软件也好不了多少，哪怕是那个公认的杀毒王兼升级狂AVP，大家拿手上那帮大马小马自个儿试试吧，保证叫它们死得惨不忍睹，AVP那么好的引擎又有何用呢？(据说当年因为Pc-cillin杀不了CIH的某些国内变种，所以有人就......)
就是不算木马，各种蠕虫变种也够这帮老外受的，其中最典型的就是Lovgate系列了。有些用Norton的单位就算是天天更新，也总是不如它的变种来得快，甚至面对有些n年前的国产病毒，那帮老外也一声不吭。
综上所述，我们只能得到两个结论：1、面对众多国产病毒木马，外国杀毒软件只是一帮废物；2、以检出率论英雄是一个彻底的错误，因为一个1%可以包含很少的东西，也可以包含太多的东西，同样的检出率，一个可以杀灰鸽子，一个可以杀Beast或××国外二线木马，你会选哪个？
虽然如此，但如果检出率相差太大，那就是另一回事儿了。Norton的病毒库是非常不全的，尽管在杀木马时与其它国外杀毒软件差不多，但在杀病毒时检出率相差实在太大。在许多病毒库比较齐全的评测中，（不包括公安部）Norton总是在最后几名徘徊，远远落在其它老外后面，甚至在有次国外媒体评测时仅给了Norton6.8分，（满分10分，，AVP9分）简直是......
至于瑞星的病毒库也好不了多少，经常在民间评测中与Norton一起垫底，惟有木马库齐全了许多，所以其杀毒能力可想而知......当然，瑞星杀Lovgate这些国产病毒的检出率显然高些，但木马不同的是，病毒是会自我传播的，所以国外病毒在国内照样常见。于是有一次，我的一个用瑞星的同学在用Norton扫盘时扫出满盘的病毒......顺便说一句，当年瑞星2003时人家可是一周一次升级！在这个方面，只有KV与毒霸过关，其它的实在差太远了。
二、杀壳能力
在我看过的评测中，基本上没有哪个把杀壳能力放在眼里的。事实上，没有杀壳能力，一个杀毒软件在面对木马以及病毒变种时，基本上就成了废物，有谁用马不加壳？有谁改病毒不换壳？只要人家有意，你的杀毒软件一瞬间就可以挂掉。（近来网上有传言说加了壳的木马自释放时会还原，这个说法是假的）经本人实验，各大杀毒软件杀壳能力如下：
McAfee及大多数国外二流杀毒软件：UPX
瑞星：无
毒霸：无
Norton：无
AVP：大多数流行壳
KV：大多数流行壳
UPX是一种免费软件，所以支持杀UPX无需交专利费，如果一个杀毒软件连UPX都杀不了，那只能说明他们那帮人偷懒。当然，无论如何，没有杀壳能力的这些杀毒软件会轻易地让你死翘翘的，所以大家今后必须重视杀壳能力。




同样的木马，一加壳便是不同的下场



三、清除能力
不得不说，任何一个杀毒软件在清除Autorun.inf这类病毒产生的垃圾文件时效果都不理想，不过由于在杀毒过后这些文件都成了死链接，所以随便找一个清垃圾文件的软件就可以了。
其实关于清除能力，大多数的杀毒软件都差不多，不过倒还是有几个特例：
瑞星总是清不干净自我复制型病毒。在开实时监控且每天一次全盘扫描的情况下，杀Lovgate用了2天，杀某蠕虫病毒用了一周，杀folder.htt病毒用了超过一周时间也杀不干净，最后只用搜索并删除同名文件却杀干净了！明显是跳杀现象。
Norton则是一见染毒文件就删，实在令人怀疑Symantec的人是否学过汇编。另外Norton在撞上一个病毒在内存中的进程时，竟经常不会自动关闭，需要你手动关闭，而其它任何杀毒软件大都有此规则。
四、内存杀毒及DOS杀毒
当今国外杀毒软件基本没有再提供DOS杀毒的了，所以面对dll进程守护式的病毒木马就只能到安全模式下碰运气了，并且有时还会失败。相比之下，毒霸、瑞星、KV都有DOS杀毒能力，只是毒霸杀不了NTFS，KV可以杀壳。
国产杀毒软件都号称可以内存杀毒，但大都只是实时监控加进程关闭的换汤不换药，杀不了dll进程守护，甚至不去检查调用的dll文件，等于一个功能没加，只有KV一个一个dll地检查，并有查到毒后反复检查内存及必要时自动开机检查的功能，dll进程守护的病毒木马基本上都可以挂掉。实话说，只有KV的可以算有内存杀毒功能，其它的都是吹牛。
五、实时监控
当今的杀毒软件几乎都要吹一吹自己的实时监控，但实话说，没什么稀奇的：一是对进入内存的程序进行扫描，二是预读。（解压时查毒属于第一项）第一项没啥子稀奇，至于第二项，国产杀毒软件的速度大幅超过了老外，的确可喜可贺。
尽管如此，不得不说说KV。KV的实时监控技术，即"动态比特滤毒"技术实在是太强了。为什么我一直在用Net Transport呢？因为在打开KV文件监控的时候，KV会自动对进入电脑的文件进行扫描。如果是带毒的压缩包，KV会在下载结束的一瞬间报警，如果是EXE或DLL等，那么有时才下载到一半就会报警。另外如果你用Windows搜索时开KV文件监控，KV会顺带地扫出很多东西，（前提是你硬盘上有）上次我就是忘了这一点，结果把自己的黑软库一大半倒进了隔离区。（开个KV在网站上防Asp木马，爆爽！）
六、杀未知病毒能力
当今的杀毒软件对这一点都"非常重视"；所谓"重视"就是大肆做相关的广告；行为判断、虚拟机法、智能跟踪......如果这些都是实话，那么面对一个歪壳压的病毒，杀毒软件们理应报警，但事实上没有一个杀毒软件做到这一点，这些谎言也就不攻自破了。当今的杀毒软件的防未知病毒机制其实只有启发式扫描，即仅仅是扫描文件中的可疑代码。也就是说，如果解不了壳，再强的启发式扫描引擎也什么用也没有，由此，KV、AVP的表现大幅超过了其它的杀毒软件。在加壳病毒横行的今天，其它的杀毒软件几乎全是吃鸭蛋。
不论如何，毒霸、瑞星和AVP的误报率都算比较高，尤其是前两者，几乎只有误报纪录，毒霸的实时未知病毒检测甚至会干扰到已知病毒检测。Norton与KV到目前为止我也没发现误报，不过Norton的未知病毒检测也不乍地，只是比毒霸、瑞星强了许多。
不看误报率，只有AVP与KV的能力令人满意，AVP自然不用说，人家可是启发式扫描的鼻祖，具体能力大家也清楚。事实上KV也是非常强的，只是可能大家不知道，最经典的例子就是当年的KV3000不升级就可以挂掉冲击波！不过据说KV未知病毒检出率略低于AVP，也许这是为达到误报率为0所必须牺牲的吧。
大家注意，哪怕是KV、AVP，它们杀未知木马的能力也为0，也许它们一向都只是在研究病毒吧。若要杀未知木马，大家一定要用****，据我实验,****是第一个采用行为判断法的安全软件，同时有超强的专门对付木马蠕虫的启发式扫描引擎，对付加壳木马也非常有一套，实为史上最强的杀马软件，曾被ZDNet评为年度十佳软件......如果你用过老版本的****杀当今的黑洞灰鸽子你就知道了。不过这有点扯远了。

Helones

我用什么小红伞, NN叫我用的,不好找他

Fred

原帖由 VengXCne 于 2007-10-27 12:54 发表


他们觉得打瑞星客服不用说英文比打AVP客服省心。
:$

不是啊，是瑞星很少报警，所以很安全~~~
PS：用有授权期限的杀软一定要锁系统时间啊~~~
其实策略包不错，可是感觉还是有点那个......
:$

Fred

原帖由 Evolutions99 于 2007-10-28 08:59 发表
NN……那次我编的那个太小儿科了。。。。就是释放Viking病毒而已。。。

恩......
PS：我机子上AVP的内存占用只有14MB不到
:$

Evolutions99

NN……那次我编的那个太小儿科了。。。。就是释放Viking病毒而已。。。

FreeMagician

发现自从画了了25RMB买了半年卡巴只好病毒再也没来过...
不知道是我打了补丁关系还是卡巴的关系...
总之已经告别手动杀毒的日子好久了...

Fred

原帖由 Evolutions99 于 2007-10-27 17:36 发表
KV的实时监控确实很变态，但是丝毫智能都没有！庸庸就知道了，能烦死你

国产的杀毒软件....没法说....

Longbow

原帖由 VengXCne 于 2007-10-27 17:17 发表
仔细看看你第一句话好了，不想和你吵了，反正我用我的杀毒软件，你继续裸奔。不过你没有安全意识就不要出来宣扬了，我不喜欢中国没装杀毒软件的肉鸡到处乱跑的情景~ ...

我说的是基于事实而你说的是基于理论，这就是区别所在，偶是学硬件的，理论肯定说不过你，只不过事实证明偶不是肉鸡，很多装了杀软的人反而比偶肉多了，反正偶作为没米的玩家，是经不起这样的系统资源消耗的，所以才想方设法不装杀软的同时保证安全，而有些人学了一大堆专业知识却不思进取，甘愿受杀软商所摆布:$

Evolutions99

KV的实时监控确实很变态，但是丝毫智能都没有！庸庸就知道了，能烦死你

Fred

仔细看看你第一句话好了，不想和你吵了，反正我用我的杀毒软件，你继续裸奔。不过你没有安全意识就不要出来宣扬了，我不喜欢中国没装杀毒软件的肉鸡到处乱跑的情景~