Virusscanner mist Windows-malware na eerste dag
Als een virusscanner op de eerste dag een nieuw virus of Trojaans paard niet detecteert, is de kans zeer klein dat de malware in latere dagen wel wordt herkend. Dat blijkt uit onderzoek van Carbon Black. Via VirusTotal werd de detectie van 43 virusscanners onderzocht. Zes dagen na het eerst verschijnen van nieuwe malware daalde het detectiepercentage naar bijna nul. "Dit betekent gemiddeld genomen dat als een virusscanner malware niet meteen herkent, het dit waarschijnlijk nooit zal doen", aldus de onderzoekers.
Detectie
Verder bleek dat na 30 dagen de virusscanners minder malware detecteerden dan op de eerste dag. Een mogelijke reden hiervoor is dat anti-virusbedrijven hun verzameling signatures steeds bijwerken. Vanwege de grote hoeveelheid malware zouden de signature-verzamelingen zo groot worden dat dit invloed op de prestaties van de computer heeft, zo stelt Carbon Black.
Volgens David Harley van anti-virusbedrijf ESET is het onderzoek erg beperkt, omdat het alleen naar statisische signatures kijkt en geen rekening met de heuristieke detectie van virusscanners houdt.
Daarnaast twijfelt Harley aan de opvatting dat grote anti-virusbedrijven hun signature-verzameling zouden snoeien om ruimte voor nieuwe malware-signatures te maken.
Bij een scanner ontdekte ik geregeld dat er signatures af gingen dan erbij kwamen. Dus die kritiek klopt wel denk ik.
Vrij onlogisch. Immers worden signatures toegevoegd nadat bedrijven samples van de malware ontvangen. Je zou dus verwachten dat de kans dat je AV scanner na een maand de malware kan detecteren groter is dan na een dag. En indien je virusscanner na een dag de malware wel detecteert, en een maand later niet meer, dan is dat ronduit bizar te noemen.
De vraag of de antivirus software de malware aanvankelijk kan detecteren door heuristic scanning staat daar los van. Als dat op het moment van de uitbraak het geval is, dan is dat een maand later nog steeds zo.
Bij een scanner ontdekte ik geregeld dat er signatures af gingen dan erbij kwamen. Dus die kritiek klopt wel denk ik.
Vaak worden verschillende definities voor één familie samengevoegd tot één generieke definitie, dus dat zegt niks.
Dat volgens Virustotal een stuk malware door de commandline scanner van een pakket niet gevonden wordt betekent niet dat de malware niet gevonden wordt op een systeem waar de volledige functionaliteit van een anti-malwarepakket op aanwezig is.
http://blog.hispasec.com/virustotal/22 (blog van virustotal.com)
Wat het artikel wel zegt is dat er dagelijks ruim driekwart miljoen nieuwe malware-varianten onderzocht moeten worden. Dat is mogelijk te veel om de exemplaren die een virusscanner-maker op een dag niet volledig weet te inspecteren later af te maken, er staan alweer ruim driekwart miljoen nieuwe exemplaren te dringen die de volledige capaciteit vergen. De malware die op dag 30 niet herkend wordt werd dus op dag 1 al niet herkend en kwam domweg niet meer aan bod.
Van CarbonBlack.com:
"Carbon Black is a surveillance camera for your computer – always recording so you know precisely what happened and where. The “camera” collects and retains five key elements as they are occurring: records of execution; filesystem modifications; registry modifications; new outbound network connections and unique binaries – as well as the relationship among them."
Wat is er mis met VMWare?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
