Методология теста самозащиты антивирусов (январь 2009)

Тест проводился на специально подготовленном
стенде под управлением VMware GSX Server. Для каждого антивирусного
продукта клонировалась "чистая" виртуальная машина с операционной
системой Microsoft Windows XP SP3.

В тестировании участвовали следующие антивирусные программы:

1. 
   

   Avast!
   4 Professional Edition 4.8 (build 4.8.1229)

2. Microsoft
   Windows Live OneCare 2.5.2900.20

3. 
   

   Avira
   Premium Security Suite 8.1.0.245

4. BitDefender
   Internet Security 2009 (build 12.0.10)

5. Dr.Web
   Security Space 5.0.0.12171

6. ESET
   Smart Security 3.0.672.0

7. F-Secure
   Internet Security 2009 (9.00 build 148)

8. Kaspersky
   Internet Security 2009 (8.0.0.454)

9. McAfee
   Internet Security 2009

10. 
    

    Norton
    Internet Security 2009 (16.0.0.125)

11. 
    

    Outpost
    Security Suite Pro 2009 (6.5.2358.316.0607)

12. 
    

    Panda
    Internet Security 2009 (build 14.00.00)

13. 
    

    Sophos
    Anti-Virus 7.6.2

14. 
    

    Trend
    Micro Internet Security 2009 (17.0.1224)

15. 
    

    VBA32
    Personal (3.12.8.1)

16. ZoneAlarm Security Suite 8.0.059.000

При установке антивирусов использовались рекомендуемые
производителем настройки по умолчанию и производились все рекомендуемые
программой действия (перезагрузка системы, обновление и т.д.). Все
компоненты защиты активировались, если это не было предусмотрено после
установки автоматически.

Тестирование самозащиты антивирусов проводилось по следующим параметрам:

1. Самозащита на уровне системы:
   
   1. изменение разрешений на доступ к файлам;
   2. изменение разрешений на доступ к ключам реестра.
2. Защита собственных файлов:
   1. модификация/удаление модулей;
   2. удаление антивирусных баз.
3. Защита своих ключей реестра:
   1. модификация/удаление значимых ключей реестра (вручную):
      • ключи автозапуска;
      • ключи сервисов;
      • ключи конфигурации.
4. Защита своих процессов:
   1. Предотвращение завершения процессов:
      • из TaskManager;
      • API с уровня пользователя:
        1. стандартно (TerminateProcess);
        2. завершить все ветки процесса (TerminateThread);
        3. завершить процесс как задачу (EndTask);
        4. завершить процесс как работу (EndJob);
        5. завершить процесс при помощи дебагера (DebugActiveProcess);
        6. модификация указателя инструкций (EIP);
        7. сообщение от рабочей станции (WinStationTerminateProcess);
        8. "bruteforce" message posting;
        9. удаление после перезагрузки.
      • посылка сообщений (SendMessage API):
        1. WM_CLOSE;
        2. WM_QUIT;
        3. WM_SYSCOMMAND/SC_CLOSE;
        4. Комбинация пунктов 1-3;
        5. PostMessage;
        6. SendMessageCallback;
        7. SendNotifyMessage;
        8. PostThreadMessage.
      • API с уровня ядра:
        1. ZwTerminateProcess;
        2. ZwTerminateThread.
   2. Модификация процесса/кода:
      • инжектирование кода (CreateRemoteThread);
      • инжектирование DLL;
      • изменение атрибутов защиты памяти (VirtualProtectEx);
      • запись в процесс (WriteProcessMemory).
   3. Выгрузка драйверов

Проверка самозащиты производилась при помощи
специально подготовленных утилит, имитирующих атаки или вручную, с правами локального администратора. После
каждой атаки обязательно проводилась проверка работоспособности
антивируса (его отдельных модулей, активных процессов, сервисов,
драйверов).

Если в ходе тестов на завершение/модификацию
процессов один из них завершался (т.е. атака на него удавалась), то все
остальные процессы подвергались атаке повторно.

Шаги проведения тестирования:

1. Установка антивирусной программы на чистую машину;
2. Перезагрузка системы;
3. Проверка успешной установки и работоспособности всех модулей программы;
4. Сохранение образа виртуальной машины;
5. Проверка самозащиты по одному из параметров;
6. Повторная проверка работоспособности модулей программы;
7. Откат системы к сохраненному ранее образу (пункт 4).

Для каждой антивирусной программы выделялась отдельная
чистая виртуальная машина - шаг 1. После каждой проверки самозащиты
антивируса по какому-либо критерию, машина откатывалась в
первоначальное состояние - шаг 4.

Tweet