Prevenire è meglio che curare :) Software HIPS

[sampei.nihira]

Molto interessante questo test che vi accingete a fare.
Spero che reperirete prima possibile il sample.
Spero che inserirete qualche desk in questo 3D prima possibile.
In bocca al lupo !!

[riazzituoi]

.

[sampei.nihira]

Originariamente inviato da riazzituoi

Forwardato

Appena posso faccio i test e posto i risultati

PS
Qui c'è una discussione interessante con alcune idee per bypassare Sandboxie (e forse futuri PoC)
http://forum.sysinternals.com/forum_posts.asp?TID=15072

Ti ringrazio Riazzituoi.
Io sono un pò impegnato a scovare bugs in Opera 9.50 (e purtroppo per la prima volta ce ne sono alcuni anche piuttosto fastidiosi sigh) !!
Mi sbilancio a dire che da tanti anni che uso Opera questa è la versione che mi soddisfa meno dal lato bugs !!

Ed a cercare una soluzione di freeze random sotto linux.

Grazie ancora !!

[riazzituoi]

.

[riazzituoi]

.

[sampei.nihira]

Bel lavoro Riazzituoi !!
Complimentoni !!

Aspettiamo adesso per chi lo farà il test con Rustock !!

[Nicodemo Timoteo Taddeo]

Originariamente inviato da riazzituoi

Returnil, così come altri software simili (ShadowUser, PowerShadow) è stato bypassato, mentre ShadowDefender, così come si può leggere su wilders, sembra non essere vulnerabile a questo rootkit (ma sempre nel medesimo forum si legge che è stato bypassato anche lui da un altro simpaticone: soft10.exe)

Visto che ce l'hai sotto mano, perché quando hai qualche minuto non lo provi anche con sandboxie?


Saluti.

[Chill-Out]

Originariamente inviato da Nicodemo Timoteo Taddeo

Visto che ce l'hai sotto mano, perché quando hai qualche minuto non lo provi anche con sandboxie?


Saluti.

mi accodo alla richiesta di Nicodemo

@riazzituoi

Grazie anticipatamente

[nV 25]

@ riazzituoi:


Oltre che un grazie per le prove svolte, apprendo con letizia [] che nei tuoi esperimenti è stato testato PS (sotto Returnil)...


Come è possibile ricavare dai tuoi screen, PS è ampiamente in grado di prevenire l'infezione..
Se questa, allora, è la tua analisi, dissento dalla conclusione che trai alla fine del test ovverosia la morale di tutta la storia,

un unico prodotto non è sufficiente a garantire la sicurezza del proprio sistema...

Resta fermo l'ottimo test che hai condotto...

[nV 25]

EDIT:

in relazione al mio ultimo post sopra, si prega di non travisare il mio pensiero specie poi se diversi miei commenti sono riportati (+ o - velatamente..) su altre piazze a mia insaputa...

Apprendo infatti con piacere (se mai ce ne fosse stato bisogno...) che PS si conferma quello che è sempre stato ma, allo stesso tempo, NON HO MAI PENSATO CHE quest'ultimo possa essere la soluzione a tutti i mali (non per nulla, infatti, ho AV & Fw anche se questo cmq è un altro capitolo...)
Questa spiegazione, infatti, lava via ogni forzatura di chi vorrebbe vedere nella mia ultima affermazione 1 messaggio, ProSecurity unico strumento di difesa...

In 2° luogo, la "forzatura" (inevitabile, cmq...) che caratterizza ogni singolo test di questo tipo, e cioè, per l'hips puro almeno, scavalcare a piè pari (quasi come non vi fosse proprio...) una sua arma sicura al 100%, l'esecuzione...

Il mio "piacere" quando guardo test come questi, allora, è il vedere che <I LIVELLI SUCCESSIVI L'ESECUZIONE SONO EFFICACI>...ma non per questo, allora, dò il mio assenso indiscriminato a dx e a manca a qualsiasi cosa mi capiti a tiro:
capita, quindi, la differenza tra me (noi?) e la stragrande maggioranza della gente?

Non c'è magia, gente*...




*non certo riferito a riazzituoi, Chill-Out, Pistolino o, in generale, ai più "avvezzi" ma all'eventuale altra platea....

[riazzituoi]

.

[riazzituoi]

.

[nV 25]

Per la cronaca, a breve (spero, anche se non ci capisco + nulla a proposito dei tempi..) dovrei ricevere in anteprima (?) la prox beta di PS e mi farebbe piacere se qualche italiano avesse il coraggio di provare la release finale (che non tarderà molto ad uscire dal momento in cui io riceverò via pvt la beta...) e, possibilmente, a "staccarsi" 1 licenza cosi' da supportarne lo sviluppo futuro...

Alla base, infatti, c'è una software house di 1 sola persona che credo si faccia un mazzo tanto per tirare avanti la baracca..


Tutto, per una cifra di circa 20 € che consente l'uso del programma fino all'uscita dell'eventuale v.2 (quindi, GRATIS tutte le rel. della serie 1.x o quelle di ora, per intendersi...)


Pubblicità per questo povero diavolo e il suo software credo sia tollerabile alla luce di quello che offre, e questo a prescindere da cs.exe o soft10.exe...

[Chill-Out]

Originariamente inviato da nV 25

EDIT:

Il mio "piacere" quando guardo test come questi, allora, è il vedere che <I LIVELLI SUCCESSIVI L'ESECUZIONE SONO EFFICACI>...ma non per questo, allora, dò il mio assenso indiscriminato a dx e a manca a qualsiasi cosa mi capiti a tiro:
capita, quindi, la differenza tra me (noi?) e la stragrande maggioranza della gente?

Non c'è magia, gente*...

come dicesti a suo tempo: "La potenza è nulla senza controllo"

[Nicodemo Timoteo Taddeo]

Originariamente inviato da riazzituoi

Sandboxie risulta immune a questo malware

Che dirti? Un grosso grazie



Saluti

[Chill-Out]

Originariamente inviato da riazzituoi

Sandboxie risulta immune a questo malware

cs.exe sandboxato (solita solfa: viene creato il folder Nt_File_Temp, ecc ecc)

grazie mille

[sampei.nihira]

Che Sandboxie risulti immune a quel malware significa poco........
Certo è un risultato non da poco e da evidenziare certamente !!
Infatti quando una strada è stata aperta poi si vedono inevitabilmente i primi pionieri !!

Futuro sempre più in trincea quindi.....cari miei !!

@ nV25

Enne tu che sei l'esperto degli esperti (d'USO ) di HIPS vorrei farti una domanda.....è possibile oppure occorre prendere un'appuntamento ?

Cercando nel caso di stemperare (se necessario altrimenti no) per un attimo la tua filosofia che "gli HIPS li dovrebbero fare chi sà fare gli HIPS" vorrei prendere in esame alcuni prodotti ma nelle loro versioni esclusivamente free.

Tralascio PS perchè ho letto i tuoi commenti.....
Prendo in esame SSM.
Certamente superiore a PS se consideriamo in entrambi i prodotti le loro versioni free.

Mi sorge un dubbio però se faccio il paragone tra SSM ed O.A.
Ormai i test di Matousec sono più inclini a mettere in evidenza il funzionamento dei moduli HIPS.......se non vado errato.

E qui si evidenzia che la versione free di O.A. supera i test meglio di SSM a pagamento !!

Devo dire che sono un pò confuso a riguardo.

Ti ringrazio per quanto vorrai scrivere !!

Salutoni.

[nV 25]

SSM l'ho sempre digerito il giusto (trovo infatti che abbia un'interfaccia confusa ecc ecc..) pertanto non sono proprio la persona più appropriata per emettere giudizi su questo prodotto...

OA?
sicuramente efficace ma...costruito attorno al n00b (interfaccia non confusa ma esteticamente scandalosa, controllo profondo "relativo", ecc ecc...)

L'hips puro che mi si avvicina di più è indubbiamente EQS, very light e , al contempo, super valido...

Dovessi fare una sorta di ranking, direi
1° EQS
2° OA
3° SSM

anche se riconosco che la cosa è molto opinabile...


Se si è interessati cmq al SOLO controllo esecuzione (una sorta di super-password [ACCETTA/NEGA] che, per la 100° volta, ricordo essere l'unico strumento che garantisce con un margine del 99,9% contro qualsiasi rischio presente e futuro in un account in regime di amministratore e non solo...), un **QUALSIASI HIPS** è STRA_SUPER_SUFFICIENTE anche là dove risultasse obsoleto per determinate funzionalità di livello successivo l'esecuzione stessa....

[leolas]

Originariamente inviato da nV 25

OA?
sicuramente efficace ma...costruito attorno al n00b (interfaccia non confusa ma esteticamente scandalosa, controllo profondo "relativo", ecc ecc...)

concordo almeno l'interfaccia ora la stanno cambiando (non che sia fantastica, però ), e in versione a pagamento se ci si vuole male, lo si può rendere più complicato in advanced mode

e lì dopo 5 minuti io strippo! Se SSM fosse come OA in advanced tutto il tempo, io temo che stripperei dopo 5 minuti (ok, ora lo provo )

comunque, dato che voglio dare un senso di utilità a questo post, che sennò è davvero inutile: i test matousec possono essere un pò fuorvianti, perchè se un firewall non passa al 100% un livello, anche se i livelli dopo li passasse tutti al 100%, i livelli successivi non verrebbero contati nel risultato (o almeno, così era fino ad un mesetto fa)

altra cosa: matousec ora è affiliata a Kaspersky, OA e Outpost.........


EDIT: mi sbagliavo... OA non passa i test keylogger (oa free non protegge contro tutti i tipi di keylogger ), ma è arrivato comunque al lvl. 10...

da qualche parte una fregatura c'è comunque

EDIT2: c.v.d.

se guardate il report di SSM, vedrete che non sono stati fatti i test di livello 8, 9, 10

[sampei.nihira]

EQS ?

Ma si trova in internet qualche info che non sia a "caratteri mandarini" ??
Solo ad entrare nel sito cinese del soft mi sento male......
Sarà mica solo la moderatrice di PianetaPC (ma è italiana ?? ) ad usare questo soft ?