OVH Cloud OVH Cloud

Clamwin

17 réponses
Avatar
hdl
Quelq'un aurait-il des stats sur les détections et temps de réponse aux
nouvelles menaces concernant clamwin ?
Si vous avez des retours d'expériences, des informations comparatives
entre cet outil et d'autres du marché, je veux en fait voir sa pertinence.

Merci.
--
Henri-Damien LAURENT

10 réponses

1 2
Avatar
Frederic Bonroy

Quelq'un aurait-il des stats sur les détections et temps de réponse aux
nouvelles menaces concernant clamwin ?
Si vous avez des retours d'expériences, des informations comparatives
entre cet outil et d'autres du marché, je veux en fait voir sa pertinence.


C'est un projet amateur. Je n'ai rien contre les projets amateurs, hein,
qu'on me comprenne bien, mais il me semble peu prudent de faire
confiance à un programme qui au vu de sa structure ne peut pas offrir le
même niveau de protection que les produits professionnels.

En fait, il semblerait que Clam soit capable d'intercepter la plupart
des cochonneries qui transitent actuellement sur le réseau. Il faut
cependant dire qu'elles ne sont pas très très compliequées. Il est à
craindre que le jour où sortira un truc un peu plus complexe, Clam aura
des problèmes.

Avatar
Frederic Bonroy

Quelq'un aurait-il des stats sur les détections et temps de réponse aux
nouvelles menaces concernant clamwin ?
Si vous avez des retours d'expériences, des informations comparatives
entre cet outil et d'autres du marché, je veux en fait voir sa pertinence.


C'est un projet amateur. Je n'ai rien contre les projets amateurs, hein,
qu'on me comprenne bien, mais il me semble peu prudent de faire
confiance à un programme qui au vu de sa structure ne peut pas offrir le
même niveau de protection que les produits professionnels.

En fait, il semblerait que Clam soit capable d'intercepter la plupart
des cochonneries qui transitent actuellement sur le réseau. Il faut
cependant dire qu'elles ne sont pas très très compliequées. Il est à
craindre que le jour où sortira un truc un peu plus complexe, Clam aura
des problèmes.

Avatar
Kevin Denis
On 2005-02-09, Frederic Bonroy wrote:

Quelq'un aurait-il des stats sur les détections et temps de réponse aux
nouvelles menaces concernant clamwin ?
Si vous avez des retours d'expériences, des informations comparatives
entre cet outil et d'autres du marché, je veux en fait voir sa pertinence.


C'est un projet amateur.


clamwin ou clamav?
--
Kevin


Avatar
Nicob
On Wed, 09 Feb 2005 13:20:38 +0000, Kevin Denis wrote:

C'est un projet amateur.


clamwin ou clamav?


Fred parle de ClamAV en général. Que le soft soit utilisé en GUI ou
ligne de commande, sous Linux ou Windows, c'est pareil : le
pattern-matching a ses limites.

Mais tout de même, ils sont sacrément rapides pour les nouvelles
signatures, la plupart du temps !


Nicob


Avatar
Frederic Bonroy

Fred parle de ClamAV en général. Que le soft soit utilisé en GUI ou
ligne de commande, sous Linux ou Windows, c'est pareil : le
pattern-matching a ses limites.

Mais tout de même, ils sont sacrément rapides pour les nouvelles
signatures, la plupart du temps !


C'est peut-être dû au fait qu'il suffit justement de créer une nouvelle
chaîne de caractères pour chaque bestiole.

Avatar
Kevin Denis
On 2005-02-09, Nicob wrote:

C'est un projet amateur.


clamwin ou clamav?


Fred parle de ClamAV en général. Que le soft soit utilisé en GUI ou
ligne de commande, sous Linux ou Windows, c'est pareil : le
pattern-matching a ses limites.

Tiens, ca m'interesse. Lesquelles? Dans quelle cas sont elles

limitees?
Pour faire du filtrage de mail (l'utilisation que je vise) c'est
quand meme pas mal, non?

Pour passer les signatures, que reste t'il? Les virus zippes proteges
par mot de passe (il n'y en a eu qu'un je crois)? Quoi d'autre?
--
Kevin



Avatar
Frederic Bonroy

Tiens, ca m'interesse. Lesquelles? Dans quelle cas sont elles
limitees?


Prenez un bête virus chiffré, avec un chiffrage encore plus bête à base
de xor 8 bits. Vous avez 255 variantes possibles (2^8 = 256 - moins la
variante en clair qu'on tentera d'éviter).

Question pour un champion: combien de signatures vous faut-il pour
détecter toutes les variantes?

A la rigueur vous pouvez faire une signature sur la routine de
décryptage, à condition qu'elle soit statique. Si elle aussi change,
alors vous avez un problème...

Pour faire du filtrage de mail (l'utilisation que je vise) c'est
quand meme pas mal, non?


Tant qu'en pratique Clamav arrête tous les virus, je ne vois pas de
problème, effectivement. L'ennui que ça peut s'avérer très inefficace du
jour au lendemain.

Pour passer les signatures, que reste t'il? Les virus zippes proteges
par mot de passe (il n'y en a eu qu'un je crois)? Quoi d'autre?


Le polymorphisme et le métamorphisme.

Avatar
Kevin Denis
On 2005-02-09, Frederic Bonroy wrote:

Tiens, ca m'interesse. Lesquelles? Dans quelle cas sont elles
limitees?


Prenez un bête virus chiffré, avec un chiffrage encore plus bête à base
de xor 8 bits. Vous avez 255 variantes possibles (2^8 = 256 - moins la
variante en clair qu'on tentera d'éviter).

Vi, on reste dans le theorique, la.


Question pour un champion: combien de signatures vous faut-il pour
détecter toutes les variantes?

Question concrete: quels virus _au 09 fevrier 2005 17h38_ utilisent un

chiffrage a variante?

A la rigueur vous pouvez faire une signature sur la routine de
décryptage, à condition qu'elle soit statique. Si elle aussi change,
alors vous avez un problème...

Pour faire du filtrage de mail (l'utilisation que je vise) c'est
quand meme pas mal, non?


Tant qu'en pratique Clamav arrête tous les virus, je ne vois pas de
problème, effectivement. L'ennui que ça peut s'avérer très inefficace du
jour au lendemain.

Demain, il sera temps de voir, mais aujourd'hui?


Pour passer les signatures, que reste t'il? Les virus zippes proteges
par mot de passe (il n'y en a eu qu'un je crois)? Quoi d'autre?


Le polymorphisme et le métamorphisme.


Meme question concrete: nom des virus ?

Je sais, en theorie on est sur de rien, et il se trouvera toujours
un gars pour imaginer (meme theoriquement) un virus capable de demolir
un antivirus en face. Mais concretement, a l'heure d'aujourd'hui, on
en est ou?
--
Kevin


Avatar
Frederic Bonroy

Je sais, en theorie on est sur de rien, et il se trouvera toujours
un gars pour imaginer (meme theoriquement) un virus capable de demolir
un antivirus en face. Mais concretement, a l'heure d'aujourd'hui, on
en est ou?


Aujourd'hui on est au point où le polymorphisme existe depuis au moins
12 ans: http://www.virusbtn.com/magazine/issues/pdf/1992/199209.pdf

http://www.f-secure.com/v-descs/hare.shtml
Matez un peu la première phrase:

"This is a resident stealth multipartite virus with antiheuristics and
antiemulation tricks, encrypted with a slow polymorphic encryption layer."

C'est pas avec une chaîne de quelques octets que vous détecterez ça.


Si vous voulez des exemples de virus polymorphes qui ont effectivement
été en liberté, vous avez Magistr par exemple qui a fait un tabac il y a
quelques années (et dont la variante .B a d'ailleurs contraint Frisk a
modifier quelque peu son moteur de recherche, alors voyez un peu):
http://www.viruslist.com/en/viruses/encyclopedia?virusid"574

"This large size however is caused by the virus' Win32 EXE files
infection algorithm, e-mail and network spreading routines, polymorphic
engines (there are two), payload routines and many anti-debugging and
other tricks used by the virus to make its detection and disinfection
more difficult. Thus, this virus is one of the most complex viruses that
are known at the moment."


Des virus pas franchement répandus mais qui démontrent que le
polymorphisme et le métamorphisme ne sont pas que de sèches théories
mais tout à fait réalisables en pratique:

ZMist: http://www.peterszor.com/zmist.pdf
Drill: http://www.peterszor.com/drill.pdf

Infos sur la détection du virus Zhengxi:
http://www.noh.ro/craiu.com/papers/papers/zhengxi.html




Pour conclure, le polymorphisme et le métamorphisme ne sont pas faciles
à mettre en oeuvre et donc la plupart des auteurs de virus ne les
emploient pas, mais quand ça arrive (c'est déjà arrivé et arrivera de
nouveau), ce n'est pas avec un bout de signature que vous les
combatterez efficacement.

Avatar
Roland Garcia
On 2005-02-09, Nicob wrote:

C'est un projet amateur.


clamwin ou clamav?


Fred parle de ClamAV en général. Que le soft soit utilisé en GUI ou
ligne de commande, sous Linux ou Windows, c'est pareil : le
pattern-matching a ses limites.



Tiens, ca m'interesse. Lesquelles? Dans quelle cas sont elles
limitees?


Confiez le à Andreas Marx, je parie qu'en taux de détection il arrivera
en bon dernier.


Pour faire du filtrage de mail (l'utilisation que je vise) c'est
quand meme pas mal, non?


Oui, mais en priorité filtrez les extensions dangereuses.

--
Roland Garcia




1 2