Linux a antivir

28.9.2008 01:43 | Přečteno: 4247× | Linux | poslední úprava: 28.9.2008 01:48

Na mém nově nainstalovaném černém počítači se mi v poslední době začaly dít zvláštní věci. Firefox přestal zobrazovat aktuální URL v adresním řádku, nereagoval na tlačítka zpět, vpřed ani reload a aby toho nebylo málo, všechny stránky jakoby neustále načítal. Díky mouse gestures se sice dal používat, ale připadalo mi to víc než divné. Nakonec jsem se rozhodl vyzkoušet antivir.

Protože se počítač dal jinak používat úplně normálně a Firefox bylo možno ovládat myší, hledání problému jsem odkládal. Až včera se mi povedlo najít trochu času, pročetl jsem pár diskusí a nakonec se rozhodl nainstalovat antivir. Speciálně na spyware a podobnou nižší havěť jsem nic nenašel, zvolil jsem tedy ClamAV + GUI ClamTK. A když už jsem se vůbec poprvé rozhodl vyzkoušet na Linuxu antivir, přidal jsem ještě Avast!.

Antivirem jsem prověřil domácí adresář. Při čtení výstupu mne zaujalo několik souborů Permission denied. Pohled z konzole mi pak ukázal adresář Cache a soubor sessionstore.js s vlastníkem root. A náhle bylo všechno jasné.
Nedávno jsem totiž experimentoval s internet bankingem a čipovou kartou. Vyskytl se tam problém s aktualizací šifrovacího appletu. Ten si chtěl zapsat nějaké Java knihovny do adresáře, kam neměl přístup. Přišlo mi to hned jako jasná chyba, ale po konzultaci s jedním známým z vývoje internet bankingu jsem se nakonec odhodlal a spustil Firefox pod rootem.
To se mi tedy nakonec vrátilo v podobě zmíněného podivného chování. Po vymazání Cache a souboru sessionstore.js se začal Firefox chovat znovu úplně normálně.

Ačkoli antivir žádný vir neobjevil, považuji tuto zkušenost za přínosnou. Především jsem si vyzkoušel, že spouštět Firefox pod rootem není dobrý nápad. Mám teď klidné spaní, protože vím, že mám počítač v pohodě. Antivir objevil také několik poškozených souborů, kterých bych si asi jinak nevšiml. A v neposlední řadě jsem si vyzkoušel samotný antivir.

A jak si oba antiviry vedly? Řekl bych, že oba docela dobře.
Zde je několik postřehů:

ClamTK má velmi jednoduché, účelné a svěží GUI. Malou vadou na kráse je nutnost aktualizace virové databáze z příkazové řádky. To zajistí freshclam. Lze to elegantně zautomatizovat přes crontab nebo je zde také možnost nechat freshclam běžet na pozadí freshclam -d --quiet a ten si pak sám pro nové aktualizace sahá každou hodinu.
ClamAV můj domovský adresář (17822 souborů, cca 12GB) prošel za 90 min. Skenoval 17102 souborů. Během scanování se dalo s počítačem (P4, 2GHz, 512MB RAM) vcelku normálně pracovat.

Také Avast! funguje bez problémů. Neumí přírůstkovou aktualizaci, takže stahuje vždy celou virovou databázi, což je nějakých cca 18MB. Aktualizaci databáze zvládá pod běžným uživatelem. Grafické rozhraní využívá knihovny GTK+ 2.x; u mne vypadalo o něco méně hezky než ClamTK. Zato však skenuje rychleji. Stejný home adresář zvládl za 27min, přičemž skenoval 22184 souborů (následoval linky). Během práce bylo ale zpomalení cítit o něco více.

Výhodou Avastu je tedy rychlost, certifikace ICSA a řada ocenění VB100. Naopak výhodou pro ClamAV je dobrá integrace se systémem skrze množství dalších programů. ClamAV mne upozornil např. i na několik phishing souborů v mém inboxu a objevil tamtéž i pár kolizí s RFC2231.

Oba antiviry nezabírají mnoho místa na disku, takže si je nechám. I když viry pro Linux snad neexistují a Firefox naštěstí neumí ActiveX, myslím, že nebude na škodu mít možnost čas od času (pro klidné spaní) nějaký ten scan udělat.

^{* Pro získání přesných čísel jsem oba antiviry spouštěl z příkazové řádky.}

       

Komentáře

[otasomil]

Hmm to je zajimave tedy.
Tak s antivirem na Linuxu jsem jeste neexperimentoval. Zato vsak na win sveho casu ponerne hodne a docela me prekvapilo ze zadny z mnou testovanych antiviru a antispyware nenasel a nevyhodnotil skodlivy soubor ktery po spusteni smazne ntldr a spusti format na discich E, F, G,... pokud tedy jsou v PC nejake takove. Byl to puze bat soubor prelozeny utilitou bat2exe.
Uzivatel po jeho spusteni ani nevi ze sve pc zapnul naposled a bude potrebovt odbornou pomoc - teda jako mene zdatny a prijde o sva data co ma treba na pripojenem flashdisku.
Tento skodlivy soubor jsem si vytvoril sam a dodnes neni povazovan antiviry jako skodlivy ac muze pripravit o uzivatelovy data.
Timto jsem si vytvoril vemi radikalni nazor na antiviry jakozto pouhy sprosty byznys k okradani firem (i soukromych osob) a hotovo.
Toto jen nazor - nevyvolavam v zadnem pripade flame.

[Ilfirin]

No jo, ale pokusil bych se hádat, že onen prográmek není vir. Samovolně se nikam nešíří. Myslím, že podchytit všechny tyhle "sranda" prográmky není v lidských silách.

[otasomil]

Jasne ze to neni typicky vir pac se sam nikam nesiri avsak je mozne jej pouzit jako setup.exe treba na cd s hrama ci nakyma programama a je vymalovano.
Ale nevim jak jinak si ma uzivatel overit ze spusteni instalace z CD mu neposkodi os.
Tato problematika me donedavna zajimala a tak jsem stahoval z netu ruzne "pochybne" programy a testoval co se bude dit - obcas zajimave veci jako vyskakovaci okna , zmenena pracovni plocha, zakazan spravce uloh, ovladaci panely, nouzovy rezim... az totalni zkaza os a nutna rehabilitace ze zalohy. Proste kdyz nekdo spusti instalaci programu tak musi byt pripraven na vsechno.

[Zdenek.Z]

Ale nevim jak jinak si ma uzivatel overit ze spusteni instalace z CD mu neposkodi os.

Asi nijak. Jak chcete definovat "poškodit OS"? Co je poškození a co ne? Jaké operace jsou v pohodě a jaké už ne?

Proste kdyz nekdo spusti instalaci programu tak musi byt pripraven na vsechno.

Samozřejmě. Co může antivir dělat? Buď hledat již známé viry (tj. nemůže zamezit těm, které jsou v době vydání databáze neznámé) nebo použít nějakou heuristiku, tj. hádat. Tedy stoprocentně spolehlivý nikdy nebude.

[Jirka]

Ale nevim jak jinak si ma uzivatel overit ze spusteni instalace z CD mu neposkodi os.

Tak kvůli tomu snad existují administrátorské a uživatelské účty. Kdyby to spustil běžný user, tak systém nepoškodí. To, že si smaže své data je už jeho problém. Navíc, kdyby antiviráky prováděly automatický disassembling a analýzu kódu, zda se v něm nenalézají instrukce pro mazání souborů, tak (kromě toho, že to je hovadina) by antivirové kontroly trvaly dny, nikoliv hodiny a uživatelé by je už vůbec nedělají.

Hm, oni je stejně nedělají. Jim stačí, že tam ten antivirový program je nainstalovaný, ale aby jim neubíral prostředky, tak vypnou rezidentní scanner a jakékoliv pokusy o pravidelnou kontrolu okamžitě zruší.

Ale jinak souhlasím. AV programy jsou úžasný byznys.

[M. Lox]

Toto jen nazor - nevyvolavam v zadnem pripade flame.

Důležitá otázka – co jiného než názor si myslíš, že vyvolává flamy?
Jinak ten blog ukázal tři velmi důležité věci:

1. Nepracuj pod rootem
2. Nepoužívej antivir
3. Nevěř nikomu, kdo vyvíjí internetbanking

[hufhendr]

Spíš bych řekl, buď vždy velmi opatrný, když ti kdokoli poradí cokoli udělat/vyřešit pod rootem.

[Heron]

Mno, řekl bych, že by se situace obrátila, kdybys ten svůj prográmek rozdal na statisíce počítačů. Antivir snad ani dneska netestuje skutečné chování programů, ale jen porovnává obsah proti nějaké hash.

Autorovi blogu: všechny programy pro linux testují hlavně přes stroj procházející emaily, případně soubory (pokud stroj slouží jako fileserver). Snad žádný se nepředstavuje jako antivir pro linuxové binárky.

[YYY]

Zav testuje chovani programu...

[Hobit]

At uz win nebo linux, rikas pouzil jsem prostredky/programy systemu, zabalil je do bataku/skriptu a umi to znefunkcnit system. A antivir to nenajde, kupodivu. ;o)

Holt lidska blbost je ten nejlepsi byznys na svete, lepsi nez pujcovani penez nebo zprostredkovani prace. Mozna jen zbrane a chlast ji muzou konkurovat.

[M. Lox]

Holt lidska blbost je ten nejlepsi byznys na svete, lepsi nez pujcovani penez nebo zprostredkovani prace. Mozna jen zbrane a chlast ji muzou konkurovat.

Holt lidská blbost je ten nejlepší byznys na světě, lepší než lidská blbost nebo lidská blbost. Možná jen lidská blbost a lidská blbost jí můžou konkurovat.

[h.xman]

A proc by ten tebou vytvoreny soubor mel byt detekovan antivirem, kdyz to zcela evidentne neni vir? A kdyz vsechny tebou uvedene ukony (mazani, formatovani) jsou zcela legitimni a rozhodne neni nic nepredstavitelneho, ze je uzivatel chce provest? To uz bys mohl chtit, aby ti antivir cetl myslenky, a kdyz napises ze chces zformatovat disk, tak aby poznal jestli to opravdu chces a nebo jen tak blbnes, a podle toho to dovolil nebo zablokoval. Mas naprsto nesmyslna ocekavani a kdyz je antiviry nenaplnuji, tak to pro tebe znamena ze antiviry jsou sprosty byznys k okradani lidi... hmm, dobry.

[Jendа]

Zase na druhou stranu - jak chceš potom detekovat vir? Co když uživatel chce ty DLL knihovny změnit, MBR přepsat a patchovat exe soubory?

[h.xman]

Zase na druhou stranu - jak chceš potom detekovat vir? Co když uživatel chce ty DLL knihovny změnit, MBR přepsat a patchovat exe soubory?

Praveze vir je neco, co prichazi zvenci bez vedomi uzivatele a sam bez pokynu uzivatele spousti nejakou cinnost - a antivir se musi snazit detekovat prave takove veci. Nejcasteji podle databaze jiz znamych viru, do ktere se viry dostavaji na zaklade podnetu nasranych uzivatelu, kterym udelaly neco co si oni neprali, takze tezko muzes predpokladat ze oni vlastne chteli ty DLL knihovny zmenit, MBR prepsat a patchovat exe soubory.

Definicni vlastnosti viru je prave virulentnost, jejich schopnost samy se sirit a vykonavat nejakou cinnost, bez vedomi a bez zameru uzivatele - rysem ktery antivir musi vyhledavat je prave ta podloudnost, nikoli pouhe mazani dat apod. Prave proto sem uzivatelem aktivne vytvoreny a spusteny soubor obsahujici obycejny prikaz format evidentne nepatri.

[otasomil]

Ja nad tim tak dumal a napsat kod programu co cte uhozy na klavesnici a posila je po dejme tomu tisici znacich nekam na ftp neni tak slozite a antivirovy ci spise antispywarovy sw to taky neodhali ac se jedna o obrovske bezpecnostni riziko.
Pritom tento kod muze byt klidne soucasti kdejakych uzitecnych programu treba na grafiku.
Takovyto kod muze byt samozrejme napsan pro libovolnou platformu.
Zde je resenim pouze open source a podrobna studie kodu jinak si nikdy nemuze byt nikdo 100% jist co jim nainstalovany program dela za jeho zady.
Antivirovy prumysl by zkrachoval kdyby M$ pridaly k vypinani PC vedle vypnout, uspat jeste kouzelne tlacitko "zapomenout vsechny zmeny v systemu. To by byla parada.

[Andrej Herceg]

Také riešenia existujú (chránený disk je read-only a zápis sa presmerováva, takže po reštarte je ten systém rovnaký, ako bol pri zapínaní tej ochrany).

[otasomil]

To je zajimave. Mate k tomu nejake podrobnosti. Domnivam se ze by to zajimalo hodne uzivatelu.
Predpokladam ze se bavime o systemu windows a nikoli o linuxovem. Tam to samozrejme je mozne. Sam to casto pouzivam.

[Filip Jirsák]

To formátování disků dělal ten program sám, nebo přes příkaz format? jestli to byl původně baťák, tipoval bych druhou variantu. Pak ale nebyl škodlivý ten váš program, ale je škodlivý příkaz format. Takže By ho měl každý pořádný antivir označit za škodlivý kód. S mazáním souborů je to ještě horší – to umožňuje třeba každý program, který používá systémové dialogy pro otevření souborů, Windowsovský průzkumník, správci souborů – tedy skoro každý program vlastně může smazat soubor – šup s ním do karantény.

Detekovat antivirem, jestli je něco škodlivý kód nebo ne, prostě spolehlivě nejde – antivir může maximálně upozornit, že ten program dělá příliš mnoho podezřelých věcí. Ale jinak je spíš nesmyslná ta metoda jistého operačního systému, že si uživatel neustále do systému tahá nějaký neznámý spustitelný kód, který spouští pokud možno pod administrátorskými právy, a nějaký antivir se to pak pokouší zachytit.

[otasomil]

Program to provadel pomoci prikazu format .
Problematika detekce skodliveho kodu me velmi zajimala a tak jsem ji trosicku studoval sam a primo v praxi neb jsem se nemohl smirit se studijnimi texty jisteho absolventa VS v oboru IT ktery popisoval skodlivy kod jako nakazu souboru, infekci a stale se pokousel pripodobnit k chorobam zivych organismu namisto uvedeni konkretni casti kodu coz by nepochybne bylo na podstatne vyssi urovni.

[Kvakor]

Vyskytl se tam problém s aktualizací šifrovacího appletu. Ten si chtěl zapsat nějaké Java knihovny do adresáře, kam neměl přístup. Přišlo mi to hned jako jasná chyba, ale po konzultaci s jedním známým z vývoje internet bankingu jsem se nakonec odhodlal a spustil Firefox pod rootem.

To byla prave ta chyba - pokud nejaka aplikace chce zapisovat tam, kam nema, ma byt povazavana za za potencialne nebezpecnou a nikdy nesmi byt spustena pod rootem, snad s vyjimkou virtualniho stroje k tomu urcenem. Na pouhopouhy zapis nekam jde navic pouzit mnoho jinych reseni - od prachsprosteho docasneho povoleni pro zapis vsem az po specialni nadstavby fs, ktere presmeruji zapisy jinam.

[hufhendr]

že to byla chyba dnes už vím, za nebezpečné jsem to považoval hned zkraje, ale chtěl jsem zjistit, jestli by to fungovalo; nakonec z toho stejně nic nebylo. Chybami se člověk učí. O těch speciálních nadstavbách jsem myslím zatím neslyšel, na co bych se měl podívat?

[Kvakor]

Bud by slo pouzit neco primo v jadre jako unionfs nebo overlayfs, nebo pomoci FUSE - bohuzel, na wiki na webu FUSE se ted nejde dostat a z hlavy si ty nazvy nepamatuju.

[pavlix]

Především jsem si vyzkoušel, že spouštět Firefox pod rootem není dobrý nápad.

Hmm, převratné to zjištění.

[Darth Phantom]

No kdysi jsem taky vyzkoušel pár antivirů, ale dospěl jsem k názoru, že v Linuxu nemají celkem antiviry opodstatnění (vyjma např. poštovních serverů sloužících pro stanice s Win). Za jednu z největších výhod Linuxu považuju fakt, že namísto drahých antivirových programů a jiných legrácek co jenom zatěžují systém, stačí používat hlavně zdravý rozum. Takhkle to to vidím já.

[Ilfirin]

Pokud máte opravdu "zdravý rozum", pak můžete používat cokoliv. Klidně i Widnows bez antiviru.

[pavlix]

Pokud máš zdravý rozum, můžeš používat cokoliv, klidně i zavirovaný windows :D.

[Ilfirin]

Taky fakt no .