Test 16 antivirů pro Linux (diskuse)

[Petr Tomášek]

Kontrolní otázka: Od koho vzali ty vzorky těch virů? Žeby od Symantechu (pro windows) a Kaspersky Labu (pro Linux)?

[Yeah]

Velmi správný dotaz

[Yeah]

Taky jste si všimli, že každý správný servr zabývající se infem o virech, má svůj šop nebo alespoň odkaz do externího? Jsem přesvědčen, že viry vytváří samy antivirové firmy aby mohli existovat, je to velké loby, možná na stejné úrovni jak to reklamní.

[mikirc]

Spíše ty firmy platí někoho aby ty viry tvořil, než že je samotné přímo tvoří.

[martin]

Jasne! A policajti platej lupice. Protoze jinak by prece lidi nekradli, wtz!

[pavlix]

Policie není firma, což dost ubírá na atraktivitě srovnání.

[Krakatit]

Nech bejt. Nejeden případ hasičů, kdy sami zakládali požáry, aby pak byli hrdiny při zásazích.

[lertimir]

Hlavně mě připadá, že starat se o bezpečnost antivirem je strašně pozdě. To kde se mám starat je bezpečná distribuce toho co mě na počítači běží. Tedy spolehlivé podepsané repozitáře a z nich spolehlivé balíky. Bezpečná hesla a klíče. důsledné oddělení práce správce a uživatele. nějaký hledač rootkitu s reportem. včasné aktualizace. a když se někdy objeví 0-day vulnerability tak asi mít trochu štěstí. To co zbude jsou makroviry do LO, což se při paranoie dá řešit kontejnery.

Máte někdo databázi linuxových virů se způsobem šíření??

[xm]

Hlavně mě připadá, že starat se o bezpečnost antivirem je strašně pozdě.

vs.

... nějaký hledač rootkitu s reportem.

Není na ten náhodou taky pozdě?

[lertimir]

je.

[Jendа]

Máte někdo databázi linuxových virů se způsobem šíření??

Zvířátko od HackingTeam používalo Flash.

Jinak na černém trhu se prý dají koupit i za docela dobrou cenu 0daye na všechny běžné prohlížeče, mohly by fungovat i v Linuxu. Browser je jedna velká díra.

A jinak takové pěkné chyby poslední dobou byly CVE-2011-2690 (exploit PNG obrázkem) a CVE-2015-1038 (exploit 7z archivem). Ale žádné využití in the wild jsem nezaznamenal (třeba si jenom dávali pozor).

Btw. tady, byť od MS, je vidět, jak se 0daye používají.

[lertimir]

to jo. Flash, prohlížeče a skripty v PDF a office suite jsou děravé jako řešeta. ( i když nevím jak to je s blokovanou javou a javascriptem). Já jsem spíš myslel virus, ne exploit. Třeba na konferenci ISS World je dost vidět, co se dělá v exploitech. Ale virus má obvykle samostatnou část, která dělá šíření a to mi v linuxu připadá dost obtížné.

[Zopper]

Šířit se může třeba zapojením do botnetu zkoušejícího ssh hesla. Nebo, pokud jsi vývojář, může zkusit infikovat tvé aplikace. Nebo posílat emaily tvým kontaktům. Nahrát nakažené .png přes sambu do okolních počítačů. Přes zero-day exploity třeba v ssl na ostatní stroje v LAN\. A tak dál, omezuje tě jen fantazie.

Linux má o něco odolnější strukturu, kdy kompromitace uživatelského účtu neznamená nutně kompromitaci systému jako takového. Jenže k většině činností malware vlastně ani nemusí být root, protože cenu mají uživatelská data a hesla.

[Václav "Darm" Novák]

A velká část z nás umí zálohovat, i tak by nějaký ransomware neplechu způsobit mohl.

[Jendа]

Třeba na konferenci ISS World je dost vidět, co se dělá v exploitech.

Já jsem tam teda byl jenom na pár přednáškách, pak mě vyhodili, protože jsem neměl razítko, že jsem law enforcement, ale nějak mi nepřijde, že bych se dozvěděl něco nového. Lidi od finfisheru tam ukazovali, jak mají krásné GUI po tom, co počítač infikují, nějaký týpek učil policajty analyzovat BTC transakce klikáním na blockchain info, a pak tahali data z Facebooku a dalších věcí. O exploitaci nic. Co mi uniklo?

[Jendа]

pak mě vyhodili, protože jsem neměl razítko, že jsem law enforcement

(ve skutečnosti to bylo trochu složitější)

[lertimir]

Viděl jsem Chaouki Bekrara přivázat exploit k PDF dokumentu a natlačit ho přes Reader do stanice. Podobně pro word. Ještě nějací němci něco měli trochu zajímavého a samozřejmě obrovský datamaining sociálních sítí.

[Jendа]

Hmm.

Chce to počítač, na kterém funguje QubesOS.

[xm]

To už se Gamma International, jeden z 5 hlavních Corporate Enemies of the Internet s jejich FinFisherem vzpamatovali z toho jak je loni hackli (viz Gamma FinFisher hacked: 40 GB of internal documents and source code of government malware Published) a zveřejnili jejich data? Škoda, doufal jsem že skončí jako Hacking Team Ale není všem dnům konec!

[Jendа]

Škoda, doufal jsem že skončí jako Hacking Team

Leak z Gammy byl méně katastrofální. A jinak HT skončil? Podle mě se vzpamatovávají.

V těch Corporate Enemies chybí Mozilla.

[Jendа]

V těch Corporate Enemies chybí Mozilla.

Jsem čekal, že se někdo zeptá.

Za to, že neumožňuje přístup na HTTPS bez svěceného certifikátu, ale umožňuje přístup na HTTP, čímž umožňuje prasárny jako GCHQ sniffující kompletní obsah komunikace z Evropy do USA. Bez tohoto by GCHQ musela na miliardu uživatelů dělat aktivní MITM útok, což nejde, protože si toho někdo všimne a ztropí povyk.

Za to, že HTTP challenge-response auth a autentizace klientským certifikátem je v jejich browseru v tak hrozném stavu, že se musí přihlašovat heslem vyplňovaným do HTML formuláře, kvůli čemuž vznikají leaky ať už rovnou plaintextů, nebo alespoň slabých hashů.

Za to, že v roce 2015 neumí zvalidovat DANE záznam v DNSSEC, ale domain-validated certifikát od MITM krabice přijmou, a když jim ho někdo strčí do bugzilly, tak tomu dají RESOLVED WONTFIX.

[lertimir]

VUPEN také nejsou svatouškové.

[xm]

VUPEN skončil, Chaouki Bekrar si míston něj založil Zerodium a vypsal odměnu 1,000,000 USD za remote exploit (přes webovou stránku nebo SMS) na iOS 9.

[lertimir]

Myslím že ani jedno nebylo smrtelné. Obrovsky poškozená pověst to ano, ale to co mají tyhle party nejcennějšího jsou znalosti lidí, to jakým způsobem jsou schopni hledat 0day zranitelnosti. A když to nepujde zachránit, tak založí jinou firmu, třeba s jinou osobou v čele a pojedou dál. Ta schopnost najít 0day a svázat i s ovládacím softem a doručit jako balík tomu, kdo to chce se žádným takovým únikem informací nezastaví.

[Jendа]

Podle mě ještě důležitější než kontakty na tvůrce 0dayů (podle leaků je většinou kupovali) jsou kontakty na odběratele těch služeb.

[Heron]

Na co psát viry, když se dá dneska postavit botnet jen ze strojů, kde se podařilo slovníkovým útokem na heslo prolomit na roota? To už ani není o nějakém pokusu propašovat tam binárku přes nezabezpečené php, to je prostě jen o tom chytnout za kliku a vstoupit dovnitř.

Na co psát viry, když stačí flash, který spustí binárku, která spustí pár sqlite dotazů, za což vám někdo zaplatí hezkých pár chechtáků?

Doba boot a bios virů je už dávno ta tam. Dneska stačí udělat stránku "unikla DB hesel z pornhubu, ověřte si, zda se tam nachází i vaše heslo: input políčko" a udělat si tak yet another password db.

[Jendа]

Na co psát viry, když se dá dneska postavit botnet jen ze strojů, kde se podařilo slovníkovým útokem na heslo prolomit na roota?

Protože mě botnet z milionu náhodných strojů nebaví. Mě zajímá pár konkrétních strojů, a ty heslo toor nemají.

Ale Flash je super, to souhlasím.

[Zopper]

NOD32? Ten NOD32, který za virus označoval jakýkoliv soubor se jménem patch.exe, nebo crack.exe? Ten NOD32, který, když jsem vzal .txt soubor a přejmenoval ho na patch.exe okamžitě zahlásil poplach a soubor nenávratně smazal? Ne, díky...

[hobul]

No, nevím, co jsi dělal za blbosti, ale Nod32 pro Windows (pro Linux bohužel ne) znám po léta z jedné menší organizace a nikdy jsem ho neviděla na kompu udělat nějaký problém.

Za to si pamatuju na takovouhle příhodu, kdy si jeden uživatel stěžoval, jak mu ten všivej antivirák pořád maže crack na total commandera nebo nějakou takovou aplikaci, a jak to vypnout. No samozřejmě že v tom malware fakt byl, ale lidi zkrátka odmítají věřit, protože chcou ten crack :D

[xhc]

je to normálna reakcia... ako by si reagoval ty? vyspelé antivírusy nemajú radi, keď si z nich užívateľ takto okato strieľa...

[JozoP]

Ahoj, ja osobne pouzivam NOD32 pre linux na vsetkych strojoch uz 5 rokov. Nemam problem. Dokonca zena mala infikovanu cache javy s facebooku co NOD32 nasiel. Osobne nepouzivam flash a na javascript mam disable. Niekedy ale treba aktivovat. Dasli priklad mam skusenost ze na linux webserveroch kde pouzivatelia kaslu na update svojich CMS tak free clamav si ani neskrtol. Po infikovani CMS php kodu roznym shell a inym bordelom. Supol som tomu nestatnikovi na web NOD32 urobil sken a naslo to tolko bordelu v tych CMS ze som sa nestacil divit. Mailserver na linux clamav prepusti haved ale nod32 nie. Osobne odporucam AV uz aj na Linux. Produkt a firmu necham na kazdom ako sa rozhodne. Mozno si niekto povie ze naco ale je to osobna vec. Jozef

[Jendа]

Hmm, takže díra je tam furt, akorát to odhalí útočníky, kteří si nedají pozor a použijí něco, na co má ten antivir signaturu.

[Radek Miček]

Na druhé straně antivir představuje další bezpečnostní riziko – viz třeba Analysis and Exploitation of an ESET Vulnerability.