News AV-Test: Viele Antivirenprogramme bleiben selbst ungeschützt

[purzelbär]

Ohne es zu wissen könnte ich mir vorstellen das bei S.Kara es nicht das Comodo Firewall Modul war das den Schutz brachte sondern eher tippe ich auf Defense+ den proaktiven Schutz der Comodo Firewall. Kannst du mal darüber aufklären S.Kara?

 

[IRON67]

Vielleicht solltest du mal von deinem hohen Ross runterkommen?

Du zuerst

Es gibt sehr wohl einen Unterschid von einem komplett kompromittierten System und einem wo die Sicherheitssoftware noch funktionstüchtig ist.

Nein. Nur, weil das AV noch läuft und scheinbar aufpasst, muss das keineswegs der Fall sein. Malware kann, falls sie sich überhaupt die Mühe machen muss, das AV daran hindern, die eigenen Dateien und Prozesse zu prüfen oder zumindest, irgendwelche Alarmmeldungen zu produzieren.

Wo habe ich das gesagt?

Du hast angeboten, eine Datei laufen zu lassen, die man dir schickt - wobei du deinen Sicherheitsmaßnahmen blind vertraust und obendrein ja weißt, dass diese Datei potenziell schädlich ist und von dir selbst ausgeführt wird. Kein vernünftiger, erfahrener Mensch würde sich so blind auf seine Schutzmaßnahmen verlassen, dass er wissentlich einen Schädling startet.

Rede ich nicht schon die ganze Zeit von Firewalls?

Ja eben. Firewalls haben aber gar nicht die Aufgabe (und sind auch gar nicht in der Lage dazu), Malwareinfektionen zu verhindern. Genau darum gehts aber. Wenn irgendwas außer dem aktuellen, nicht für Exploits anfälligen System selbst dies verhindern könnte, dann ein AV, keine Firewall.
Die aber kann dann, wenn das Kind schon im Brunnen liegt, VIELLEICHT verhindern, dass weitere Zugriffe von außen oder Kontaktaufnahme nach draußen erfolgen, aber sehr wahrscheinlich nicht, denn die Malware-Schreiber sind ja nicht blöd. Sie wären klug beraten, ihre Prozesse und Dateien in der Firewall des Opfers als erlaubt und unbedenklich zu registrieren oder gleich Prozesse zu benutzen, die die Firewall schon kennt. Beides ist problemlos machbar, wenn die Malware erst mal läuft.
Davon abgesehen kann sie auch ohne Internetanbindung genug Schaden anrichten und das System unbrauchbar machen. Was tut die Firewall in diesem Fall? Nichts.

Und ich weiß ja nicht welche Leute du so kennst, aber deine letzte Behauptung würde ich so nicht unterschreiben.

Du musst nur so ca. 10 Jahre lang in mehreren Foren die täglich dutzenden Hilferufe der Malwareopfer und die folgenden Analysen mitverfolgen.

Ich bin seit über 20 Jahren mit PCs vertraut und obwohl mein System vermutlich weit besser abgesichert ist als deines und das der meisten ONUs, würde es mir nicht im Traum einfallen, Malware versuchsweise zu starten, um zu demonstrieren, wie sicher mein System doch ist. So naiv war ich nicht mal vor 20 Jahren - viel weniger heute.

 

[Kronos60]

würde es mir nicht im Traum einfallen, Malware versuchsweise zu starten, um zu demonstrieren, wie sicher mein System doch ist. So naiv war ich nicht mal vor 20 Jahren - viel weniger heute.

Man kann den Scanner damit prüfen:
https://www.etes.de/downloads/eicar-testvirus/
Ist ungefährlich.

 

[Scheitel]

Der "Start" oder DL der Eicar Datei, egal ob als Zip, als. com oder txt Datei wird nun mal von jedem AV erkannt.
Das ist eine rein statische, auf Signatur basierte Erkennung. Das hat mit dem, was es alles "böses" gibt leider 0 zu tun.

Damit testet man nur noch ob die Signaturen bzw. die Erkennung generell funktioniert, wenn man keine echte Malware dafür nehmen will.

 

[Kronos60]

wenn man keine echte Malware dafür nehmen will.

Das sollte man als ONU auch nicht tun.

 

[Scheitel]

Die Abkürzung ist mir nicht geläufig in dieser (vermuteten) Richtung, DAU kenne ich noch.
Eine ONU hatte ich in meiner alten Mietwohnung.

Zwischen dem reinen Scannen und dem Ausführen besteht ja auch noch ein himmelweiter Unterschied. Aber klar, das geht schneller schief als manch einem lieb sein kann^^

 

[Kronos60]

Die Abkürzung ist mir nicht geläufig in dieser (vermuteten) Richtung, DAU kenne ich noch.

Sorry, habe mich vertippt, ich meinte einen ONV (Otto Normal Verbraucher), hat nichts mit DAU zu tun.

 

[IRON67]

Man kann den Scanner damit prüfen: [EICAR] Ist ungefährlich.

Du bist ja richtig lustig. Damit kannst du doch nur beweisen, dass es das EICAR-File erkennt. Du kannst damit nicht beweisen, dass das AV im Ganzen noch funktioniert. Ich kann wirklich nur jedem, der so unverbrüchlich in AVs vertraut, raten, sich mal eingehend mit den Fähigkeiten moderner Malware zu befassen. Ein Einstieg wären z.B. die freilich arg technischen Analysen von Samples auf http://www.threatexpert.com

 

[Kronos60]

Du kannst damit nicht beweisen, dass das AV im Ganzen noch funktioniert.

Das habe ich ja auch nicht behauptet.

 

[IRON67]

Das habe ich ja auch nicht behauptet.

Sondern? Dass ich den EICAR-Test kenne, sollte dir klar sein. Ich bin kein Anfänger. In welchem argumentativen Zusammenhang sollte dieser Hinweis also stehen?

 

[Kronos60]

In welchem argumentativen Zusammenhang sollte dieser Hinweis also stehen?

In gar keinem ich habe nur eine Möglichkeit gepostet seinen AV-Scanner zu prüfen, nicht mehr und nicht weniger. Das dieser Test in seinen Möglichkeiten begrenzt ist, ist klar.

Ich bin kein Anfänger

Das weiß ich aber darum geht es ja gar nicht.

 

[S.Kara]

Soll heißen, die Win7 Firewall wird das sicherlich "gesehen" haben

Na davon gehe ich mal aus.
Was passiert wenn man alles blockieren lässt habe ich nicht getestet, das traue ich MS schon zu. Das Problem ist nur dass es eben in der Default-Einstellung - was ja vermutlich die Meisten nutzen - problemlos möglich ist die Firewall zu umgehen.

Ohne es zu wissen könnte ich mir vorstellen das bei S.Kara es nicht das Comodo Firewall Modul war das den Schutz brachte sondern eher tippe ich auf Defense+ den proaktiven Schutz der Comodo Firewall. Kannst du mal darüber aufklären S.Kara?

Meinst du bei meinem Testprogramm?
Da es zu Anfang unbekannt ist bekommt man beim Ausführen sicherlich eine Meldung von Defense+. Also ich habe nicht versucht irgendwelche Firewalls anzugreifen, nur daran vorbei zu gehen. Ich habe also nur die Firewall-Meldung nicht zugelassen.
Ich hoffe ich habe deine Frage irgendwie beantwortet.

Du zuerst

Neh.

Nein. Nur, weil das AV noch läuft und scheinbar aufpasst, muss das keineswegs der Fall sein. Malware kann, falls sie sich überhaupt die Mühe machen muss, das AV daran hindern, die eigenen Dateien und Prozesse zu prüfen oder zumindest, irgendwelche Alarmmeldungen zu produzieren.

Normalerweise sollte ein Programm nicht einfach die Rechte dazu haben.
Aber wenn es so ist wie du beschreibst und die Malware tun kann was sie will, kann man das komplette System vergessen.

Du hast angeboten, eine Datei laufen zu lassen, die man dir schickt - wobei du deinen Sicherheitsmaßnahmen blind vertraust und obendrein ja weißt, dass diese Datei potenziell schädlich ist und von dir selbst ausgeführt wird. Kein vernünftiger, erfahrener Mensch würde sich so blind auf seine Schutzmaßnahmen verlassen, dass er wissentlich einen Schädling startet.

Naja um es mal auszusprechen: Logischerweise würde ich deine Malware nur in einer VM ausführen.
Ich halte es für praktisch unmöglich alle Systeme von Comodo zu überlisten. Aber falls du es doch geschafft hättest, hättest du mir wenigstens nicht geschadet.

Ja eben. Firewalls haben aber gar nicht die Aufgabe (und sind auch gar nicht in der Lage dazu), Malwareinfektionen zu verhindern. [...] Davon abgesehen kann sie auch ohne Internetanbindung genug Schaden anrichten und das System unbrauchbar machen. Was tut die Firewall in diesem Fall? Nichts.

Das Wichtigste ist - meiner Meinung nach - heutzutage dafür zu sorgen, dass niemand an meine Daten kommst. Selbst wenn ich mir irgendetwas einfangen sollte was mein System unbenutzbar macht, soll doch wenigstens von außen niemand Zugriff haben.
Mit einem Backup lässt sich ja alles wiederherstellen.

 

[IRON67]

Normalerweise sollte ein Programm nicht einfach die Rechte dazu haben.

Normalerweise braucht es die auch nicht, wenn es ein vertrauenswürdiges ist. Nun hat aber Malware die unschöne Eigenschaft, nicht im Interesse des Opfers zu handeln und daher KANN Malware Dinge, die andere Programme nicht können (sollten).

Naja um es mal auszusprechen: Logischerweise würde ich deine Malware nur in einer VM ausführen.

Da habe ich gleich noch eine Überraschung für dich. VMs sind nicht sicher. Malware KANN ausbrechen. Die schlauere Malware aber merkt, dass sie in einer VM läuft, spielt das harmlose Doofchen und tut nichts Böses.

 

[Bolko]

Merle, von ZoneAlarm gibt es auch die Kombination Free Firewall plus Free Antivirus:

Desktop-Firewalls braucht man doch nur dann, wenn man mit dem Laptop außer Haus ist.
Zu Hause bzw am Desktop reicht doch die Router-Firewall völlig aus.

Ergänzung (3. November 2015)

Wieso naiv? Programme die von der Firewall geblockt werden haben keine Chance. An einer guten Firewall kann man sich nicht vorbeischummeln ohne diese anzugreifen.

Der Browser ist die Schwachstelle, denn der ist immer in den Fireweallregeln freigegeben und so einen Browser kann ein Schädling auch zweckentfremden, um Daten zu verschicken.

 

[IRON67]

In gar keinem ich habe nur eine Möglichkeit gepostet seinen AV-Scanner zu prüfen, nicht mehr und nicht weniger.

Weißt was? Ich glaube dir das nicht. Vorher gings ja gerade darum, dass der eine meint, ein System, auf dem das AV noch läuft, wäre nicht wirklich kompromittiert und ich erinnerte daran, dass ein laufendes AV kein Beweis dafür wäre, dass die Malware es nicht manipuliert hätte. Dann kommst du mit dem EICAR-Test, mit dem man die "Funktionstüchtigkeit" eines AVs angeblich testen könne. Wenn du das zusammenhanglos gepostet hast, ist es noch schlimmer, als wenn du eine Absicht damit verfolgt hast, denn wer sich nicht etwas besser auskennt, könnte glauben, dass dieser Test zuverlässig ist.
Da es in dem Satz, den du bei mir zitiertest, um den angebotenen Test echter Malware ging und nicht um ein Testfile, das keinerlei Schadfunktion beinhaltet, war der Tipp völlig nutzlos.

 

[S.Kara]

Kann kann kann.. ist dein Lieblingswort was?
Fakt ist, so einfach möglich ist es nicht ein gutes System anzugreifen und wenn man als User nicht einfach alles zulässt praktisch nahezu unmöglich.

Da habe ich gleich noch eine Überraschung für dich. VMs sind nicht sicher. Malware KANN ausbrechen. Die schlauere Malware aber merkt, dass sie in einer VM läuft, spielt das harmlose Doofchen und tut nichts Böses.

Mal abgesehen davon, dass es kein Problem ist herauszufinden ob man sich in einer VM befindet, ist es nahezu unmöglich dort herauszukommen.
Nur weil es unter bestimmten Umständen möglich war irgendwie auf dem Host-System zuzugreifen, ist es noch lange nicht unsicher. Zumal man auf dem Host-System ja auch noch Sicherheitssoftware laufen hat, die komische Dinge melden sollte.

Der Browser ist die Schwachstelle, denn der ist immer in den Fireweallregeln freigegeben und so einen Browser kann ein Schädling auch zweckentfremden, um Daten zu verschicken.

Naja bei der Windows Firewall vielleicht, andere werden dich schon Fragen ob du den Browser zulassen willst. Außer wenn er schon per Default in der Whitelist ist.

 

[IRON67]

Kann kann kann.. ist dein Lieblingswort was?

Nein. Mein Lieblingswort ist Hirnprinz. Ich habe KANN im Vorposting so betont, weil deine bisherigen Äußerungen darauf hindeuten, dass dir nicht klar ist, was Malware KANN. Wozu sie in der Lage ist - wenn dir diese Formulierung lieber ist. Und zwar nicht theoretisch in der Lage ist, sondern FAKTISCH. Sie tut es. Nicht in Ausnahmefällen, sondern regelmäßig, routiniert und professionell.

Fakt ist, so einfach möglich ist es nicht ein gutes System anzugreifen

Was ist ein "gutes System" denn konkret? Und bevor du jetzt all die Dinge aufzählst, die ich eh schon kenne: wie viele Leute haben wohl so ein System? Eine verschwindend kleine Minderheit und um die geht es hier nicht.

...ist es nahezu unmöglich dort herauszukommen.

Lass mich raten: "Nahezu" ist DEIN Lieblingswort.

Nur weil es unter bestimmten Umständen möglich war irgendwie auf dem Host-System zuzugreifen, ist es noch lange nicht unsicher.

Ich höre schallendes Gelächter aus der IT-Ecke. Natürlich ist es dann unsicher - vor allem, wenn deine sogenannten "bestimmten Umstände" den Regelfall darstellen. Du kannst doch nicht ernsthaft glauben oder andeuten wollen, dass nur deshalb, weil ernsthaft interessierte Leute in der Lage sind, ihr System vernünftig abzusichern, das Problem dadurch verschwindet.

 

[S.Kara]

Wieso präsentierst du dann nicht mal eine Malware die in der Lage ist aus einer VM auszubrechen und mir mein System lahm legt? Ich nutze VMware Workstation, kannst sie also direkt dafür anpassen.
Es KANN auch sein, dass man eine Million Mal einen 6er im Lotto hat, trotzdem braucht man von einem solchen Fall nie auszugehen.
Logisch gibt es keine 100%tige Sicherheit. In der IT Sicherheit geht es immer nach Wahrscheinlichkeit und darauf wird alles abgestimmt.

Nein. Mein Lieblingswort ist Hirnprinz. Ich habe KANN im Vorposting so betont, weil deine bisherigen Äußerungen darauf hindeuten, dass dir nicht klar ist, was Malware KANN. Wozu sie in der Lage ist - wenn dir diese Formulierung lieber ist. Und zwar nicht theoretisch in der Lage ist, sondern FAKTISCH. Sie tut es. Nicht in Ausnahmefällen, sondern regelmäßig, routiniert und professionell.

Dann bring bitte einen Beleg über eine offene Lücke die es ermöglicht aus einer VM auszubrechen und das Hostsystem zu infizieren. Und komm jetzt nicht mit irgendwelchen Dingen die theoretisch irgendwann mal möglich gewesen wären.

Was ist ein "gutes System" denn konkret? Und bevor du jetzt all die Dinge aufzählst, die ich eh schon kenne: wie viele Leute haben wohl so ein System? Eine verschwindend kleine Minderheit und um die geht es hier nicht.

Lass es uns lieber "sicheres System" nennen.
Dabei handelt es sich für mich um ein System auf dem kein Programm ohne Einwilligung des Users starten kann und auch für alle anderen Aktionen (Zugriff aufs Netzwerk, Prozesse, ...) eine Einwilligung benötigt.
Die beste Malware hat keine Chance solange sie garnicht erst zur Ausführung gelangen kann bzw. es schafft sich in andere Prozesse einzunisten.

Ich höre schallendes Gelächter aus der IT-Ecke. Natürlich ist es dann unsicher - vor allem, wenn deine sogenannten "bestimmten Umstände" den Regelfall darstellen.

Wie gesagt bitte Belege liefern oder zum Ohrenarzt gehen.

Du kannst doch nicht ernsthaft glauben oder andeuten wollen, dass nur deshalb, weil ernsthaft interessierte Leute in der Lage sind, ihr System vernünftig abzusichern, das Problem dadurch verschwindet.

Nein, habe ich auch nie behauptet.

 

[IRON67]

Wieso präsentierst du dann nicht mal ..... [blah entsorgt]...

Wieso googelst du nicht mal? Ich hab auf diese Frage schon die ganze Zeit gewartet. Danke dafür. Ich muss dir hier weder meine Kenntnisse und Erfahrungen in Form einer umfassenden Linkliste präsentieren, noch dir irgendwas beweisen. Du hast zu beweisen, dass deine Einbildung, ein System wäre sicher und trotz aktiver Malware nicht kompromottiert, solange nur das AV "läuft", der Wahrheit entspricht. Und weil du das nicht kannst, willst du mir den Schwarzen Peter zuschieben. Nice try, next try.

Lass es uns lieber "sicheres System" nennen.
Dabei handelt es sich für mich um ein System auf dem kein Programm ohne Einwilligung des Users starten kann und auch für alle anderen Aktionen (Zugriff aufs Netzwerk, Prozesse, ...) eine Einwilligung benötigt.

Da du ja meine Antwort ignorierst, wiederhole ich sie einfach:

Wie viele Leute haben wohl so ein System? Eine verschwindend kleine Minderheit und um die geht es hier nicht. Nichts gibt ein ONU lieber, als seine Einwilligung. Die meisten gucken gar nicht, was da wieso fragt. Sie wollen nur, dass es endlich weitergeht.

Nein, habe ich auch nie behauptet.

Nicht wortwörtlich, nein. Aber das ergibt sich in letzter Konsequenz aus deinen Ansichten. Schau, ich bin sogar bereit, dir zu glauben, dass du dein System ganz gut im Griff hast wie wohl die meisten, die hier seit langem aktiv sind und sich kompetent äußern können und Probleme verstehen. Aber das hat rein gar nichts mit der "Realität da draußen" und den meisten Nutzern zu tun.

 

[S.Kara]

Wieso googelst du nicht mal?

Wieso musst du ständig dinge fett oder groß schreiben?
Ich habe übrigens gegoogelt und nichts über eine aktuell offene Sicherheitslücke gefunden.

Ich hab auf diese Frage schon die ganze Zeit gewartet. Danke dafür. Ich muss dir hier weder meine Kenntnisse und Erfahrungen in Form einer umfassenden Linkliste präsentieren, noch dir irgendwas beweisen.

Anders ausgedrückt: Du kannst es nicht belegen?
Natürlich nur eine Vermutung, aber ich bin mir sicher wenn du etwas zu präsentieren hättest, würdest du es auch tun. Beweisen musst du natürlich nichts, aber dann hör auch auf hier rumzueiern wie unsicher VMs und was weiß ich sind.

Du hast zu beweisen, dass deine Einbildung, ein System wäre sicher und trotz aktiver Malware nicht kompromottiert, solange nur das AV "läuft", der Wahrheit entspricht.

Vielleicht solltest du meine letzten Beiträge nochmals lesen.

Und weil du das nicht kannst, willst du mir den Schwarzen Peter zuschieben. Nice try, next try.

Du meinst doch hier wie unsicher es ist. Ich habe dir gesagt welche Sicherheits- und VM-Software ich nutze und dir angeboten eine Malware von dir zu öffnen.
Mehr kann ich dir nicht entgegen kommen. Wenn du meinst mein System ist verwundbar musst du es schon beweisen.

Da du ja meine Antwort ignorierst

Ich ignoriere nur nebensächliches Zeug was die Beiträge unnötig lang machen würde.
Was interessiert mich was die Mehrheit hat? Es geht darum wie sicher ein System sein kann, nicht wie sicher das Durchschnittssystem ist.