Важная запчасть антивируса

[androdrev]

Привет всем, дайте кую-нить идею, как реализовать сканирование в реальном времени? Сканирование памяти уже реализовано, но поздно будет ловить троян, когда он уже в памяти. Подбросьте справку какую-нить, или исходник там... Плиз)))

[Stilet]

поздно будет ловить троян, когда он уже в памяти.

Нет не поздно. Как раз пока он в памяти его и ловить. Когда попадет на винт и защифруется среди фалов - пиши пропало.
И потом нужно прежде всего ловить способы попадания его в ОЗУ и ПЗУ. Пиши драйверы. Службы. Перехват функций ОС на уровне ядра.
Короче бросай это дело.

[androdrev]

(1) 27.02.2014 09:21 от androdrev

Сообщение от Stilet

Короче бросай это дело.

Вы издеваетесь? Когда есть команда, когда антивирус уже на 65% готов, я возьму и брошу это дело!

(2) 27.02.2014 09:22 от androdrev

Сообщение от Stilet

Нет не поздно. Как раз пока он в памяти его и ловить. Когда попадет на винт и защифруется среди фалов - пиши пропало.
И потом нужно прежде всего ловить способы попадания его в ОЗУ и ПЗУ. Пиши драйверы. Службы. Перехват функций ОС на уровне ядра.
Короче бросай это дело.

Так раз не поздно - реалтайм проверка уже готова. При запуске процесса он сразу сканируется.




_________________
Не используйте форум как чат - не пишите несколько коротких сообщений подряд!
Есть что добавить - нажимайте кнопку "Правка/Редактировать" на своём крайнем сообщении и изменяйте, добавляйте....

Прошу учесть на будущее...

Модератор.

[Аватар]

Сообщение от androdrev

Вы издеваетесь? Когда есть команда, когда антивирус уже на 65% готов, я возьму и брошу это дело!

Если вся команда задает такие же вопросы, могу представить себе уровень антивируса

[androdrev]

Сообщение от Аватар

Если вся команда задает такие же вопросы, могу представить себе уровень антивируса

Задаю вопросы я, а не команда. Однако, профессионалов у нас негусто. Два человека, держат команду считай


---------------------------------------------------------
Короче, раз "не поздно", тема закрыта. Уровень антивируса оцените, когда он будет выпущен.

[Stilet]

При запуске процесса он сразу сканируется.

Ошибочная стратегия. Подгрузка в память идет не только при запуске. Есть множество способов поместить в память тот или иной блок данных в кольце пользователя.

[androdrev]

Сообщение от Stilet

Ошибочная стратегия. Подгрузка в память идет не только при запуске. Есть множество способов поместить в память тот или иной блок данных в кольце пользователя.

Любое обращение к памяти, проверять обращающийся объект и внедряемый. Модифицировать будет несложно.

[Пепел Феникса]

когда антивирус уже на 65% готов, я возьму и брошу это дело!

там нет и 25% по сути.

[Человек_Борща]

Вы издеваетесь? Когда есть команда, когда антивирус уже на 65% готов, я возьму и брошу это дело!

Какие 65%, вы о чем? Он даже и к 10% готовности не подешел.

Самозащиты - нет.
Сканер ФС вреальном времени - нет.
Сканер самой ФС - кое-как.
Придупреждение запуска банального EXE - нету, чего уж там говорит о сервисах, чужих сессиях и процессах в них и т.д. и т.п.

Какие тут 65% антивируса? Он даже запуск калькулятора не заблокрует.

Привет всем, дайте кую-нить идею, как реализовать сканирование в реальном времени?

Пишется драйвер для ring0, и мониторите обращения к ОЗУ, ПЗУ, там же проверяете обращения чужих потоков к ПЗУ и ОЗУ занятой антивирусом(доп. защита).

Так раз не поздно - реалтайм проверка уже готова. При запуске процесса он сразу сканируется.

Да? И когда и где вы начинаете сканировать?

[androdrev]

Сообщение от Человек_Борща

Какие 65%, вы о чем? Он даже и к 10% готовности не подешел.

Самозащиты - нет.
Сканер ФС вреальном времени - нет.
Сканер самой ФС - кое-как.
Придупреждение запуска банального EXE - нету, чего уж там говорит о сервисах, чужих сессиях и процессах в них и т.д. и т.п.

Какие тут 65% антивируса? Он даже запуск калькулятора не заблокрует.



Пишется драйвер для ring0, и мониторите обращения к ОЗУ, ПЗУ, там же проверяете обращения чужих потоков к ПЗУ и ОЗУ занятой антивирусом(доп. защита).


Да? И когда и где вы начинаете сканировать?

Самозащита - ЕСТЬ (с чего вы взяли что нет?!)
Сканер ФС реатайм - что и обсуждается
Сканер самой ФС - не "кое-как" а норм, быстрый и хороший, out of memory больше нету
Предупреждение запуска ехе - скоро будет, почти готово.

За совет спасибо.

Сообщение от Человек_Борща

Да? И когда и где вы начинаете сканировать?

При запуске процесса он сканируется, если он "кака" - завершаем его, говорим пользователю. Пользователь сам решит.