W sieci krążą setki tysięcy odmian najróżniejszego rodzaju zagrożeń dla sieci i komputerów. Nazywane są wirusami, trojanami, malware, spyware – różnie w zależności od tego co robią i jak się zachowują. Oczywiście, każdy kto ma choć odrobinę oleju w głowie wie co się „tam” kryje i najczęściej wie czego można się spodziewać, a co jeszcze bardziej mądrzejszy ma program antywirusowy. Czy to jednak oznacza, że z programem do wykrywania i usuwania tego typu zagrożeń jesteśmy bezpieczni? Nic bardziej mylnego!
Chcę Wam tutaj przedstawić testy, jakie wykonał Jan P. Monsch z Zurichu z różnymi odmianami dokumentów Worda – doc, dot, xml, html, mht i rtf.
Do testu wykorzystał dwa dobrze znane wirusy – eicar i netsky . Pierwszy nawet wirusem nie jest, a jedynie ciągiem znaków powszechnie rozpoznawanych jako wirus, drugi jest dość dobrze znanym robakiem z 2004 roku występujący w wielu odmianach. Do testu wykorzystano witrynę Virustotal, gdzie autor miał do dyspozycji 27 programów antywirusowych.
Rezultaty były dość zaskakujące. Jeśli czysty plik wirusa lub program wykonywalny z doklejonym kodem wirusa był rozpoznawany przez wszystkie programy antywirusowe, tak z wykrywalnością w pozostałych plikach Word’a było dość kiepsko. Oto wyniki:
- DOC – eicar 20/27, netsky 21/27
- DOT – 20/27, 20/27
- RTF – 14/27, 14/27
- Word 97-2003 & 6.0/95 – 14/27, 14/27
- Strona HTML w archiwum ZIP – 9/27, 10/27
- MHT – 8/27, 9/27
- XML – 3/27, 3/27
W tym miejscu nie będę cytował wyników wszystkich programów antywirusowych, zaprezentuję jedynie najlepsze i najgorsze wyniki:
- AntiVir – eicar 4/7, netsky 6/7
- Authenium –6/7, 6/7
- AVG i Ewido– 0/7, 0/7
- F-Prot i F-Prot4 – 6/7, 6/7
- Ikarus – 0/7, 0/7
- Kaspersky – 6/7, 6/7
- McAfee i Microsoft – 7/7, 7/7
- NOD32v2 – 0/7, 0/7
- Panda i Sophos – 6/7, 6/7
- Symantec 2/7, 2/7
- UNA – 0/7, 0/7
Autor dokonał jeszcze testu na skanerze ClamAV działającym na serwerze pocztowym Postfix. Eicar i netsky był wykryty tylko w formatach DOC i DOT, reszta dokumentów i plików przeszła niezauważalnie.
Niektórzy zapewne zaczną się zastanawiać jak możliwe jest „schowanie” kodu wirusa w formach XML. A oto i przykład:
< ![CDATA[[binaria]]>.
Po bardziej szczegółowe informacje zapraszam do lektury dokumentu „Detection Rate of Alternative Word File Formats” autorstwa Jana P. Monscha.
Słowem zakończenia chciałbym jedynie dodać, że zagadnieniami wirusów, metodami wykrywania i korespondencją z firmami produkującymi oprogramowanie antywirusowe zajmuję się zawodowo od około 6 miesięcy, od momentu przyjścia do Microsoftu.
Cytowane tutaj wyniki nie mają na celu przekonanie Was do instalacji 27 programów antywirusowych na swoim komputerze w celu podniesienia stopnia wykrywalności zagrożeń, ale poinformowanie o potencjalnym niebezpieczeństwie kryjącym się nawet w plikach tekstowych (XML jest przecież formatem szeroko stosowanym w komunikacji między systemami i programami i stanowi ważne ogniwo procesów biznesowych).
Ostatnie komentarze