Test antivirus: les packers

AMcD wrote:

joke0 wrote:

Salut,

bon, apparemment plusieurs personnes ont l'air motivées pour
conduire ce test sur les compacteurs (alias packers).

Perso, je n'en vois pas trop l'intérêt. Certes, si les plus connus, comme
UPX, ne sont pas pris en compte c'est lamentable (je te rassure, ça le sera
;o)). Mais le problème est qu'il faut une demi-heure à un codeur ASM qui s'y
connaît un peu pour en écrire un, donc, forcémment, il n'est pas possible de
tenir compte de tous les compacteuurs dans la nature. Au mieux, tu pourras
gueuler sur les heuristiques défaillantes (et te faire donc de garns amis
tels que Bontchev ou Fitzgerald :o)).

Pour ceux qui savent pas se que c'est qu'un compacteur, précisons
d'entrée que ça n'a rien à voir avec un compresseur (comme le sont
les zip, rar, ace, arj, tar, gzip ect qu'on appelle
aussi"archiveurs").

Ben si, ça a à voir quand même ! Ça compresse...

Ce sont des programmes permettant de compresser certaines parties
d'un exécutables afin de le rendre plus léger. La routine de
décompression est bien entendue ajoutée au ficher. Celui-ci reste
exécutable tel quel, et rien ne permet a priori de se rendre compte
qu'un compactage du fichier a été entrepris.

Ben si, la taille de l'exécutable ;o).

Non, on pourrait en utiliser des plus récentes et répandus. Je
pense à des Sobig, des Gibe.b des Tanatos.b etc.

Ce n'est pas la peine de ta casser la tête avec 50 échantillons. T'en prends
1 seul, bien dangereux. Du moment qu'il y a échec, c'est bon, ton test est
effectif.

Faut voir ce que tu as. Fait une liste des packers et éventuellement
des unpackers les plus "éxotiques" que tu as. Les autres, on les as
déjà :)

Le problème des packers c'est qu'il y en a des tas. Tu auras bien du mal à
les recenser tous. Des applis avec packers (à 200 à l'heure) ?

Alloy,
AppLok,
Armadillo,
ASPack,
BJFNT,
CodeCrypt,
Ding Boys PE-Lock,
Exe Protector,
PE Compact,
PE-Crypt32,
PELOCKnt,
PE Password Encryptor,
PE-Prot,
Petite,
Private Exe,
Shrinker,
Stone PE,
UPX

Etc., etc., etc.

Bon, il semble que nous soyons 4-5 pour l'instant. Je pense que
c'est suffisant pour faire cette petite expérience.

Hum. Normalement, il faudrait qu'une seule personne fasse l'ensemble des
tests. Sinon, les détracteurs vont t'accuser de ne pas avoir une plate-forme
de test unique et égale. Et c'est logique ;o). Après tout, tu ne sais pas
comment tes collègues ont installé leur AV, quelle version, etc. Ni même
quel est leur degré d'intégrité ;o). Je te dis ça parce que c'est vite
arrivé de se faire descendre lorsque tu chatouilles les AVs. Soit le plus
irrprochable possible.

Il faut maintenant nous mettre d'accord sur ce que nous allons faire
sur le protocole de test et les antivirus testés (et surtout, voir si
ça vaut le coup).

D'autres ont déjà fait le test avant toi. Donc, ça fait un peu redite. Au
mieux, tu montreras que les éditeurs s'en foutent...


Je propose que nous recensions déjà le nombre d testeurs & de quel AV

chacun d'entre eux est équipé ?

Ensuite on verra pr la suite des événements...

Salut,

Frederic Bonroy:

Je ne pense pas qu'on puisse effectivement les tester tous,

Oui, mais je ne prendrais que des virus fonctionnels, c'est à dire
approuvé par un labo ou trouvé dans la nature (par la méthode que je
t'ai expliquée il y a qq tps -mais silence là-dessus ;-)

Pourquoi pas des virus aussi?

Par ce que les virus n'arrivent pas compactés :-/

Quel nombre?

Le plus important possible. Pas des dizaines de milliers bien sûr
:-) mais quelques douzaines je dirais.

Ne pas oublier qu'il faudra passer chaque bestiole dans divers
compacteurs ;-)

Jamais entendu de Hawawi ou Mapson avant que tu ne m'en parles,
là dernièrement. ;-)

Mouais, mais ils sont dans le top 20 des derniers mois :-)
Et ils sont en liberté et largement diffusés.

On prend l'"excellent keylogger" aussi? ;-)

J'y ai pensé aussi mais ça m'était sorti de la tête! Un peu de fun
ne fera pas de mal!

--
joke0

Salut,

Arnold McDonald (AMcD):

Perso, je n'en vois pas trop l'intérêt. Certes, si les plus
connus, comme UPX, ne sont pas pris en compte c'est lamentable (je
te rassure, ça le sera ;o)).

Je n'en doute pas un seul instant :(

[archiveurs]

Ben si, ça a à voir quand même ! Ça compresse...

Mouais, mais le fichier n'est pas exécutable tel quel. Sauf pour les
Zip, rar,... SFX.

Ben si, la taille de l'exécutable ;o).

Pour voir ça, il faut avoir l'original ;-)

Ce n'est pas la peine de ta casser la tête avec 50 échantillons.
T'en prends 1 seul, bien dangereux. Du moment qu'il y a échec,
c'est bon, ton test est effectif.

Après tout, je crois que tu as raison. Deux ou trois vers et 2-3
backdoors feront l'affaire.

Le problème des packers c'est qu'il y en a des tas. Tu auras bien
du mal à les recenser tous.

Ça je m'en doute :-) Je dirais même que c'est impossible.

Hum. Normalement, il faudrait qu'une seule personne fasse
l'ensemble des tests.

On s'accordera sur les réglages. Mais la plate-forme importe peu. Du
moment que l'AV est bien réglé, le virus doit être détecté. Mais je
crois que toutes les bestioles ne pourront être testées sur un même
PC. Perso je n'ai pas envie de me taper l'installation et la
désinstallation de plusieurs AV sur ma machine.

D'autres ont déjà fait le test avant toi. Donc, ça fait un peu
redite. Au mieux, tu montreras que les éditeurs s'en foutent...

C'est vrai que ça fait redite, mais je trouve ça bien que les mb de
ce groupe s'organisent pour faire qqc. Ça pose les bases de
collaborations futures sur d'autres thèmes ;-)

--
joke0

joke0 wrote:

Salut,

Arnold McDonald (AMcD):

Perso, je n'en vois pas trop l'intérêt. Certes, si les plus
connus, comme UPX, ne sont pas pris en compte c'est lamentable (je
te rassure, ça le sera ;o)).

Je n'en doute pas un seul instant :(

[archiveurs]

Ben si, ça a à voir quand même ! Ça compresse...

Mouais, mais le fichier n'est pas exécutable tel quel. Sauf pour les
Zip, rar,... SFX.

Ben si, la taille de l'exécutable ;o).

Pour voir ça, il faut avoir l'original ;-)

Ce n'est pas la peine de ta casser la tête avec 50 échantillons.
T'en prends 1 seul, bien dangereux. Du moment qu'il y a échec,
c'est bon, ton test est effectif.

Après tout, je crois que tu as raison. Deux ou trois vers et 2-3
backdoors feront l'affaire.

Le problème des packers c'est qu'il y en a des tas. Tu auras bien
du mal à les recenser tous.

Ça je m'en doute :-) Je dirais même que c'est impossible.

Hum. Normalement, il faudrait qu'une seule personne fasse
l'ensemble des tests.

On s'accordera sur les réglages. Mais la plate-forme importe peu. Du
moment que l'AV est bien réglé, le virus doit être détecté. Mais je
crois que toutes les bestioles ne pourront être testées sur un même
PC. Perso je n'ai pas envie de me taper l'installation et la
désinstallation de plusieurs AV sur ma machine.

D'autres ont déjà fait le test avant toi. Donc, ça fait un peu
redite. Au mieux, tu montreras que les éditeurs s'en foutent...

C'est vrai que ça fait redite, mais je trouve ça bien que les mb de
ce groupe s'organisent pour faire qqc. Ça pose les bases de
collaborations futures sur d'autres thèmes ;-)


Oui l'idée qu'un groupe de users avertis (professionnel ou non)

s'organisent à titre individuel pr montrer les forces & les faiblesses
des AV ça n peut engendrer que de bonnes choses pr tt l monde.
Il y a bien des réunions de consommateurs qui sont organisées par les
industriels de l'agroalimentaire pr améliorer/tester/valider leurs
produits. Alors pkoi l ptit monde des AV ne s'offrirait-il pas l'avis de
ses users ? ;)

AMcD wrote:

LaDDL wrote:

Alors pkoi l ptit monde des AV ne s'offrirait-il pas l'avis
de ses users ? ;)

Parce que les éditeurs ne voient pas ça du meme oeil que toi vois-tu... Ils
sont tous persuadés que leurs produits sont mirifiques et n'apprécient pas
que tu farfouilles dedans. Surtout que souvent la seule solution est de
désassembler, ce qui est interdit. Alors, il ne restent que quelques
possibilités de tests externes, qui finissent généralement par des
communiqués des éditeurs spécifiant que tu n'y comprends rien, que t'es
qu'un amateur et que tu devrais laisser ça aux pros (eux).

Bref, pas facile...


Pour la vision des éditeurs j t rejoint à 200% .

Mais pr bien connaître c ptit monde (com qquns d'entre vs ici) il est
tps de donner la parole aux users.
Arf on n va po commencer à parler assembleur sinon on va devoir ouvrir
un autre thread lol (et là pr c soir j'ai + trop l tps)
Oui j sais à qui tu fais allusion lol (entre ns l'éditeur en question a
eu raison d taper du poing sur la table)
Le pb des tests c'est que chacun y va de sa méthode et pr le grd public
le décryptage est quasi impossible.
Alors la majorité se réfugie ds les comparatifs des fonctionnalités &
technologies des AV pr les distinguer...

Le problème des packers c'est qu'il y en a des tas. Tu auras bien du mal à
les recenser tous. Des applis avec packers (à 200 à l'heure) ?

Alloy,
AppLok,
Armadillo,
ASPack,
BJFNT,
CodeCrypt,
Ding Boys PE-Lock,
Exe Protector,
PE Compact,
PE-Crypt32,
PELOCKnt,
PE Password Encryptor,
PE-Prot,
Petite,
Private Exe,
Shrinker,
Stone PE,
UPX

Etc., etc., etc.

Les formats décodés par KAV en avril 2003:

SCAN/AV,Diet,AIN,Aluwain,Apack,Ace-IS,ARF,AVPACK,Clipper,Com2Com,
Com2NE,Exe2NE,Com2Txt.Comt,Com2Txt.Dandler,Com2Txt.DarkStalker,
Com2Txt.HPA,Com2Txt.Jibz,Com2Txt.Netrun,Com2Txt.Nide,Com2Txt.Tseng,
Com2Txt.XP,Com2Txt.XW,Com2Txt.Yaaa,Com2Txt.Zombie,COMPACK,ComPatch,
Crypt,Crypt.4V,Crypt.ABK,Crypt.Alec,Crypt.Alex,Crypt.Aliscrp,Crypt.AST,
Crypt.Beep,Crypt.BinLock,Crypt.BTS,Crypt.C-Crypt,Crypt.CC,Crypt.CC286,
Crypt.CIPH,Crypt.CNTX,Crypt.ComC,Crypt.ComCrypt,Crypt.ComLock,
Crypt.ComProt,Crypt.Cop,Crypt.Crk,Crypt.Cruncher,Crypt.CryEXE,
Crypt.Cryptcom,Crypt.CryptExe,Crypt.CryptExe.Rel,Crypt.DarkStalker,
Crypt.DCC,Crypt.Deep,Crypt.Deeper,Crypt.Dismember,Crypt.Ds-crp,
Crypt.Elicz,Crypt.EM-Phaser,Crypt.Evil,Crypt.ExeManager,Crypt.Exom,
Crypt.Expander,Crypt.FAE,Crypt.FD,Crypt.Fdc,Crypt.Frank,Crypt.Franzy,
Crypt.Gaston,Crypt.Guardian,Crypt.Hac,Crypt.HDK,Crypt.Hijaq,Crypt.IBBM,
Crypt.InBuilder,Crypt.Inertia,Crypt.IntEE,Crypt.Jmt,Crypt.jPC,
Crypt.Khrome,Crypt.LCC,Crypt.LockProg,Crypt.Mavericks,Crypt.MKGC,
Crypt.McLock,Crypt.Mcrypt,Crypt.MegaShield,Crypt.MG,Crypt.Microxor,
Crypt.Misha,Crypt.ML,Crypt.MSCC,Crypt.NH,Crypt.Pcorsair.a,
Crypt.Pcorsair.b,Crypt.PCrypt,Crypt.PPP,Crypt.PSQ,Crypt.Quarantine,
Crypt.R-Crypt,Crypt.REC.Small,Crypt.REC.Small.AV,Crypt.Renegade,
Crypt.RL,Crypt.RTD,Crypt.Ryptor,Crypt.SCC,Crypt.Sccrambler,Crypt.Scrypt,
Crypt.SecureLock,Crypt.Shadow,Crypt.TCEC,Crypt.TinySMT,Crypt.TinyXor,
Crypt.TPC,Crypt.Tseng,Crypt.Unique,Crypt.USCC,Crypt.VAG,Crypt.Viking,
Crypt.Wicked,Crypt.Wumpus,Crypt.X3,Crypt.Xcomor,Crypt.XorCopy,
Crypt.Zombie.SP,Dr,Edit,Elite,Embedded.Boot,Epack,Exe2Com,Exe2Com.Cbredi,
Exe2Com.EXC,Exe2Com.FCK,Exe2Com.MegaSoft,Exe2Com.ScrE2B,Exe2Com.SDW,
Exe2Com.tECC,Exe2Com.Tseng,Exe2Vbs,ExeLock,ExePack,EXE_Patch,Expert,
HackStop,Jam,LGLZ,LzExe,LzCom,MegaCrypt,PaquetBuilder,PGMPAK,PkLite,
PackWin,Pksmart,Protect,Crypt.THC,ProtEXE,RelPack,Rerp,Rjcrush,RLE,
Rucc,Scramb,SCRNCH,Shrink,Six-2-Four,SuckStop,Syspack,T-Pack,Tinyprog,
Trap,TT,UCEXE,Univac,UPD,UPX,PE_Patch,UPX,Vacuum,VisualDialogScript,
VSD,VSS,WinKript,WWPACK,WWPackMutator,X3,XCR,XPack,XE,Bat2Exec,
EncrCom,Mscan-vac,DebugScript,VBSComment,MIME.Broken,Html2Rtf,Package,
Rapid,Crypt.Bom,Crypt.BWG,Crypt.JSG,ASPack,ASProtect,Astrum,BitArts,
BitArts.Cruncher,BitArts.Fusion,BJFnt,Cexe,Cheaters,CodeCrypt,
CryptoExtractor,DBPE,DEF,Dialect,DXPack,Gleam,CodeSafe,ELFCrypt,
Embedded MS Expand,Embedded Perl2Exe,Embedded Bat,Exe32Pack,
ExeStealth,Ezip,FSG,JDPack,JDProtect,INFTool,IntroLoader,InstallShield,
Krypton,LameCrypt,MimarSinan,Neolite,ExeLock,NFO,NoodleCrypt,OptLink,
PackCrypt,PackLite,PCPEC,PEBundle,PECompact,PCShrink,PE-Crypt,
PE-Crypt.BSP,PE-Crypt.Data,PE-Crypt.H-,PE-Crypt.Hetero,PE-Crypt.Lame,
PE-Crypt.NetWalker,PE-Crypt.WebMoney,PECrypt32.Kila,PECrypt32.Acpizer,
PE-Diminisher,PELock,PEMangle,PEncrypt,PENightmare,PENinja,PE-Pack,
PEPack.Exepack,PE_Patch,PE_Patch.Ginra,PE_Patch.DZA,PE_Patch.Mutex,
PE_Patch.X3,PE-Protect,PE-Shield,Petite,Pex,PKLite32,PornoPack,PornoPack,
SecuPack,SLS,Spec,Splasher,SPS,Shrinker,Shrinkwrap,SMT-protect,SuperCede,
Swf2Exe,Swc2Exe,Swf2Swc,TeLock,VBox,VCLZip,ViseMan,VGCrypt,WWPack32,
XLok,Yoda,MMBuilder,ARF,AVL,CPAV,Crunch,Scrambler,Crypt.a,CryptCOM,
CryptCOM.b,Dropper.b,Dropper.c,Dropper.d,F-XLOCK,Faila,FileShield,
ICE,MAV,CryptGeneric,MS TypeLib,Com100,Com2Exe,ObjectModule,
HDD Image,Boot BIN Image,HybrisUUE

Roland Garcia

salut
"LaDDL" <alamaison@noos.fr> a écrit dans le message news:
3f214f1b$0$2577$79c14f64@nan-newsreader-03.noos.net

Ensuite on verra pr la suite des événements...

certe, mais en attendant, si tu pouvais éviter de citer en entier les
messages de McMickey... ça me soulagerait bien

@tchao

LaDDL wrote:

Alors pkoi l ptit monde des AV ne s'offrirait-il pas l'avis
de ses users ? ;)

Parce que les éditeurs ne voient pas ça du meme oeil que toi vois-tu... Ils
sont tous persuadés que leurs produits sont mirifiques et n'apprécient pas
que tu farfouilles dedans. Surtout que souvent la seule solution est de
désassembler, ce qui est interdit.

Rien n'interdit de tester la détection des anti-virus.

Alors, il ne restent que quelques
possibilités de tests externes, qui finissent généralement par des
communiqués des éditeurs spécifiant que tu n'y comprends rien, que t'es
qu'un amateur et que tu devrais laisser ça aux pros (eux).

Ce n'est pas interdit non plus :-)

Roland Garcia

Roland Garcia wrote:

Parce que les éditeurs ne voient pas ça du meme oeil que toi
vois-tu... Ils sont tous persuadés que leurs produits sont
mirifiques et n'apprécient pas que tu farfouilles dedans. Surtout
que souvent la seule solution est de désassembler, ce qui est
interdit.

Rien n'interdit de tester la détection des anti-virus.

Je n'ai pas écrit celà. Je parle de leur désassemblage...

Alors, il ne restent que quelques
possibilités de tests externes, qui finissent généralement par des
communiqués des éditeurs spécifiant que tu n'y comprends rien, que
t'es qu'un amateur et que tu devrais laisser ça aux pros (eux).

Ce n'est pas interdit non plus :-)

C'est bien ce que je dis, "il ne reste plus...". Dis, t'es pas en forme ces
temps-ci toi, change un peu d'interlocuteur dans les threads ;o).

--
AMcD

http://arnold.mcdonald.free.fr/
(still in fossilization progress but now in english, thus the whole
world can see my laziness)

joke0 wrote:

Pourquoi pas des virus aussi?

Par ce que les virus n'arrivent pas compactés :-/

Mouais - qu'est-ce qui m'empêche de compacter un fichier infecté?

D:VIRUSMTEST.EXE packed: UPX
D:VIRUSMTEST.EXE infected: I-Worm.Magistr.b

J'y ai pensé aussi mais ça m'était sorti de la tête! Un peu de fun
ne fera pas de mal!

Je ne sais même pas quelle partie de ce keylogger est détecté.
Il y avait une archive auto-exctractible et un autre programme
dedans je crois. Je ne peux pas vérifier, je ne l'ai plus. :-(