Frage an die Experten - Bester Malware Scanner fundiertert mit belegter Begründung

[IRON67]

Schon irgendwie amüsant wie hier einige die Fragen des TE ignorieren um ihn mit ihren Trivialerkenntnissen zu zutexten. ... Die sicherste Variante ist wahrscheinlich der Einsatz mehrerer AV-Scanner. Im Livebetrieb funktioniert das leider nicht problemlos.

Dein Vorschlag ist auch sehr amüsant.

 

[Ochse]

Willst du das vielleicht begründen? Ansonsten ist dein Beitrag nicht sehr hilfreich.

 

[IRON67]

Willst du das vielleicht begründen? Ansonsten ist dein Beitrag nicht sehr hilfreich.

So, wie du dein Amüsement begründet hast? Nein, will ich nicht. Und ja, das sollte dir bekannt vorkommen.

 

[meesurik]

Naja, mehr als Trivialerkenntnisse wird man bei diesen Fragen auch nicht texten können. Und AV-Entwickler werden hier ihre Zelte wohl nicht aufschlagen.

 

[Ochse]

@meesurik
Ein paar User einschließlich dir haben das doch hinbekommen. Für diese ganzen Standardartworten gibt's eigentlich schon die Anleitungen:
https://www.computerbase.de/forum/threads/hilfreiche-threads.1050084/

 

[Garack]

AW: Frage an die Experten - Bester Malware Schutz fundiertert mit belegter Begründung

Guter Beitrag!

Was hälst du von dem HIPS der PrivateFirewall?
Kann man das ebenfalls einfach so ausknipsen?

Ergänzung (7. Oktober 2015)

schau mal dort:
https://code.google.com/p/google-security-research/issues/detail?id=546

Im Screenshot steht calc.exe als Kindprozess von Avast.
Das bedeutet: der Angreifer konnte eine Schwachstelle von Avast dazu ausnutzen, um jedes beliebige Programm zu starten.
Dieser eine Bug im Avast wurde inzwischen gefixt. Einige weitere Bugs sind natürlich immer noch offen. In sämtlichen Antivirus-Programmen.
Ein Angreifer hat durch die Ausnutzung eines dieser Bugs dann Zugriff auf den Ring 0 des Betriebssystem, also auf Kernelebene, denn nur so können Antivirusprogramme überhaupt funktionieren.
Es ist also sicherer, wenn man solche Programme (Anti-Virus) gar nicht erst installiert hat, denn dann hat man auf jeden Fall dessen Bugs schonmal nicht im System und damit weniger Schwachstellen.

Ein guter Schutz sind mehrere getrennte virtuelle Maschinen mit vmWare.
Persönliche Daten liegen in der einen VM.
Internet-Surfen macht man mit einer anderen VM (bevorzugt Linux-Gast OS).
Neue Programme testet man erstmal in einer dritten VM.

Im Windows muss man UAC auf die höchste Stufe einstellen.

Sehr interessant. Insbesondere die Kernel Mode Sache. EIne Frage dazu: Verschiedene Treiber oder AV Programme habe Ring0, also Kernel/Hardware Zugriff direkt. Kann nun nicht jeder (Mit AdminRechten) ein Programm schreiben welches Ring0 Zugriff hat? Oder steuer MS das irgendwie? Braucht man z.B. Zertifikate also Digitale Signaturen dazu?

Ergänzung (9. Oktober 2015)

Da wird auch nicht viel mehr kommen, außer aggressive Vorwürfe.

Trotzdem kann ich es mir nicht verkneifen einen noch aktuellen 2015 AV-Test von c't zu nennen, der 2016er-Test ist hoffentlich schon in der Vorbereitungsphase.

Zum Thema:
Da es nicht immer möglich ist (bei Spielen denke ich) eine VM oder eine live-CD* zu starten, was für wichtige Arbeiten das beste wäre,
kann ich noch den process explorer und weitere aus den MS-Sysinternals nennen, die nach ihren eigenen Möglichkeiten und mit etwas Glück versteckte Prozesse in Lila anzeigen (selber getestet anhand eines harmlosen Keyloggers), aber ohne weitere Wertung, so Marc Russinovich:
in seinem schon etwas älterem PDF.
Hier ist leider die eigene Erfahrung gefragt, aber nur "Brain.exe" ist meist ein schlechter Ratgeber.
Mal im Ernst, kann "Brain.exe" wirklich erahnen, was sich hinter einem neutral aussehenden Objekt befindet? Nein!

Auch können die Ergebnisse von gmer, frst und otl (schon etwas älter) über z.B. http://www.trojaner-board.de/74908-anleitung-gmer-rootkit-scanner.html analysiert werden. Scan-Hinweise gibt es dort.
Diese kommen ohne die Notwendigkeit von aktuellen Signaturen zurecht.

IPS wäre ja eine zu schöne Lösung, wäre sie vom Marketing nicht so verzerrt.
Zudem wird dem Thema IPS in allen Formen zu wenig Beachtung geschenkt, daher nur am Rande erwähnt.

* Auch hier kann sich ein BIOS-Trojaner in den Hauptspeicher kopieren und Dokumente befallen.

Auch sehr interessant. IPS werd ich mir mal genauer anschauen. Klar auch hier sind die Scanner nicht besser als die Signaturen, aber AV Programme bieten mehr Angriffsfläche das fällt bei IPS weg.


Wie ich sehe gibt es auch echt konstruktive Beiträge mittlerweile, danke dafür schon mal!

 

[xxxx]

So jetzt muss ich auch mal was dazu schreiben eine IPS auf dem Zielrechner ist sinnlos weil sie da trotzdem ausgehebelt werden kann, eine IPS gehört immer auf ein externes System schon allein deshalb weil die Deep Inspection einiges an Ressourcen verschlingt an Ram und Cpu Leistung. Abgesehen davon gibt es für Windows keine brauchbaren IPS Systeme die laufen alle nur als Sparversion mit den wichtigsten Regeln. Das beste ist die IPS als Gateway auf einen extra Computer davor zu schalten. Als nächstes kommt dazu das eine IPS primär dazu dient Netzwerkangriffe zu erkennen und zu filtern und ist damit als Virenschutz nur bedingt nutzbar.