-
добавить в избранное
«Фокусы» с файлами
12 августа 2016
Если вы когда-либо видели результаты сравнительных тестов антивирусов, то наверняка замечали, что число проверенных объектов может сильно различаться в зависимости от тестируемых продуктов.И иногда эти цифры оказываются существенно выше количества файлов в проверенной коллекции. Причина этому достаточно прозаична.
Антивирус — это (в том числе) универсальный распаковщик, позволяющий любой, даже сильно поврежденный объект, за который не возьмется ни один разархиватор, разобрать на части.
Вот, скажем, всего два абзаца из требований к антивирусу из тендерной документации:
Установленный на компьютере антивирус обязан обеспечить проверку:
- файлов и объектов, имеющих формат Smart Install Maker (SIM); DMG, HFS, XAR, Universal Binary (MacOS); SIS (Symbian 9); INNO SETUP (5.3.9 и выше); SETUP FACTORY (линейки 7,8); XENOCODE; TARMA INSTALL (линейка 3); XZ (UNIX); COMPRESS; SQUAHFS; CHILKAT ZIP; пакеты LHA (AWARD BIOS),
- файлов и объектов в самораспаковывающихся архивах: AppPackager, Astrum Install Wizard, Create Install, Fly Studio, GSFX, Hot Soup, Inno Setup, Install Essen, Install Factory, Linder Setup, NSIS (NullSoft Installation System), RSFX, SEA, Setup Factory, Setup Generator Pro, SXA ZIP, Tarma Install, Thunder Setup System, Wise Installation System, Alloy.
И это далеко не все форматы!
Но сюрпризы, связанные с количеством проверенных объектов, может преподнести и обычная антивирусная проверка. Вот, скажем, файл нулевого размера:
Попросим антивирус его проверить.
Что за чудеса? Почему проверено больше одного объекта? Накрутка счетчика? На самом деле все честно: просто антивирус проверяет файлы (и папки) на глубину, невидимую обычным пользователям.
В фантастических произведениях часто встречается волшебный кошелек, в который можно поместить различные вещи, – и при этом ни размер, ни вес кошелька для его владельца не изменится. Файлы и директории в файловой системе NTFS, используемой в современных ОС Windows, и есть такие «волшебные кошельки».
Всем известно, что файл имеет атрибуты – права на чтение и на запись.
Но кроме этих атрибутов файлу (и папке) можно назначить иные – и они при работе с обычными файловыми менеджерами пользователю видны не будут.
Скажем, в файл нулевого размера можно записать другой файл.
Возьмите тестовый вирус eicar (например, со страницы http://www.eicar.org/85-0-Download.html). Данная «программа» (EICAR — European Institute for Computer Anti-Virus Research) была специально разработана для того, чтобы пользователь, не подвергая свой компьютер опасности, мог посмотреть, как установленный антивирус будет сигнализировать об обнаружении вируса.
Но не забудьте перед скачиванием этого тестового файла отключить антивирусную защиту, иначе вы увидите нечто подобное:
Переходим в командную строку и копируем скачанный псевдовирус в некий файл.
Заходим в файловый менеджер, убеждаемся, что размер файла не изменился:
И просим проверить файл:
Вот так можно скрыть от внимания пользователя некий важный объект.
Внимание!
- Проводите эксперименты на машинах, отключенных от локальной сети.
- Не забывайте включать антивирусную проверку сразу после окончания экспериментов.
А то ведь случаи бывают разные…
Антивирусная правДА! рекомендует
Антивирус Dr.Web находит вредоносные файлы везде, где бы они ни прятались. А вот надежда на то, что вы знаете свою систему лучше злоумышленников и обязательно заметите появление вируса, беспочвенна. Не следует переоценивать свои возможности – и недооценивать киберпреступников!
|
Оцените выпуск Чтобы проголосовать зайдите в аккаунт на сайте или создайте его, если аккаунта еще нет.
|
Сделайте репост
|
![[ВКонтакте]](http://st.drweb.com/static/new-www/social/no_radius/vkontakte.png)
![[Twitter]](http://st.drweb.com/static/new-www/social/no_radius/twitter.png)
Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.
Нам важно ваше мнение
Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.
Комментарии пользователей
tataku
21:01:36 2019-02-10
Денисенко Павел Андреевич
15:06:19 2018-07-26
Toma
17:03:49 2018-05-21
vasvet
03:11:04 2018-04-02
alex-diesel
09:38:41 2018-03-16
и вообще на Тардис похоже - внутри больше, чем снаружи )))
ka_s
18:54:16 2017-07-15
eaglebuk
22:47:34 2017-02-11
Шалтай Александр Болтай
16:48:49 2017-01-24
Пaвeл
18:24:07 2016-12-29
Zserg
22:10:53 2016-11-17
bob123456
18:54:05 2016-08-23
1milS
20:35:00 2016-08-22
SanyaG
16:31:06 2016-08-19
К сожалению людей на планете становится больше, а средняя грамотность ниже))))
Еще раз огромное Спасибо!
Вячeслaв
11:15:16 2016-08-19
Для оценки реального размера удобнее всего пользоваться плагином к файловому менеджеру Far версии 2
SanyaG
10:17:04 2016-08-19
Volkort
20:15:05 2016-08-15
kama35
10:33:32 2016-08-15
duandylet
18:54:45 2016-08-14
Sermut
08:48:44 2016-08-14
Геральт
17:22:17 2016-08-13
vaki
23:29:30 2016-08-12
В...а
23:29:08 2016-08-12
ek
23:18:10 2016-08-12
НинаК
23:11:14 2016-08-12
anto-s
23:02:31 2016-08-12
tosya
22:58:26 2016-08-12
Ovod
22:45:52 2016-08-12
amonn
22:29:20 2016-08-12
kva-kva
22:18:12 2016-08-12
fed0t
22:18:06 2016-08-12
mk.insta
22:09:56 2016-08-12
azimut
22:02:43 2016-08-12
dyadya_Sasha
22:00:16 2016-08-12
m@ri
21:53:12 2016-08-12
Dvakota
21:50:29 2016-08-12
PROgrammeur
20:32:48 2016-08-12
Lia00
18:03:41 2016-08-12
Тамара
16:39:17 2016-08-12
lev
16:38:01 2016-08-12
DrKV
15:56:44 2016-08-12
Andromeda
15:36:47 2016-08-12
Вячeслaв
15:08:11 2016-08-12
Неуёмный Обыватель
14:52:22 2016-08-12
Неуёмный Обыватель
14:41:12 2016-08-12
насчет второго фара, да помню, что он позволял лазить, а сейчас у меня третий (после полета системы в прошлом году) вот и пытался посмотреть и полазить в файле, а результат нулевой, как и размер файла :) Вот и пришлось спросить тут, как достать, после ночных бдений в фаре ))
Вячeслaв
14:29:34 2016-08-12
- отредактировать записанное notepad test.txt:stream1.txt
- посмотреть картинку mspaint test.txt:pic1.jpg
- запустить start .\test.txt:note.exe - но это работает не всегда в современных ос
Вячeслaв
14:25:07 2016-08-12
- http://windowsnotes.ru/other/alternativnye-potoki-dannyx-v-ntfs
- https://xakep.ru/2004/03/18/21628
Вячeслaв
14:20:18 2016-08-12
Вячeслaв
14:18:11 2016-08-12
Вирусов таких было несколько, кто прятал информацию внутри стримов, но я давно не слышал о новых подобных. А вот для всяких систем резервного копирования и архиваторов это важно, так как до сих пор в стримах хранится важная информация о файле (настройки, контрольные суммы). Скажем Winrar архивирует со стримами, а системы синхронизации с облаком на стримы не обращают внимания
Demon
14:07:49 2016-08-12
AlexeyOloryal
13:25:35 2016-08-12