DT001G Informationsteknologi grundkurs HT12 Mittuniversitetet. Slutprojekt: Jämförande av antivirusprogram

DT001G Informationsteknologi grundkurs HT12 Mittuniversitetet Slutprojekt: Jämförande av antivirusprogram Andreas Hagström DT001G_HT12-Projekt-Andreas_Hagstrom.docx 2012-12-12 anha1137 Sammanfattning Målet med denna undersökning har varit att försöka besvara på frågan om vilket antivirusprogram som är bäst bland de allra mest vanliga antivirusprogrammen. Undersökningen har genomförts med hjälp av två stycken oberoende testsystem, fem olika antivirusprogram, tre stycken olika virus och två stycken oberoende rapporter. Denna undersökning har visat att F-secure är det bästa antivirusprogrammet på marknaden just nu enligt de mätkriterier som används. Dessa kriterier omfattar hur stor andel virus ett givet antivirusprogram blockerar och försätter i karantän. Många andra kriterier har uteslutits helt från undersökningen. Undersökningen har inte tagit hänsyn till bland annat antivirusprogrammets prestanda, priser eller support. Att besvara vilket antivirusprogram som är bäst är dock väldigt svårt och denna rapport skall inte ses som ett definitivt svar på den frågan, utan snarare ses som en oberoende undersökning där läsaren själv får ta till sig informationen och bestämma själv. Nyckelord: antivirus, avg, microsoft security essentials, norton, f-secure, nod32, välja-rätt-antivirus, Sida 1 av 12

Innehållsföreteckning Sammanfattning... 1 Innehållsföreteckning... 2 Terminologi, länkar och förkortningar... 3 Introduktion och syfte... 4 Konkreta frågeställningar... 4 En kort sammanfattning av antivirusprogrammen... 5 AVG... 5 Nod32... 5 Microsoft Security Essentials... 5 Norton... 5 F-secure... 5 En kort sammanfattning av de virus testet omfattar... 6 Sirefef... 6 Laban... 6 Greener... 7 Resultat... 8 AVG... 8 Nod32... 8 Microsoft Security Essentials.... 8 Norton.... 8 F-secure.... 8 Vidare efterforskning... 9 Slutsats och diskussion... 10 Referenslista... 12 Sida 2 av 12

Terminologi, länkar och förkortningar MSE Syftar på antivirusprogrammet Microsoft Security Essentials. URL: http://windows.microsoft.com/sv-se/windows/security-essentials-download AVG Syftar på antivirusprogrammet AVG. URL: http://www.avg.com Nod32 Syftar på antivirusprogrammet Eset Nod32. URL: http://www.nod32.com Norton Syftar på antivirusprogrammet Norton. URL: http://www.symantec.com F-secure Syftar på antivirusprogrammet F-secure. URL: http://www.f-secure.com Sirefef Ett virus, rootkit, vid namn Zero Access/Sirefef.A. [1] Laban Ett virus, trojan, vid namn Trojan.Startpage.AABI laban.vn. [3] Greener Ett virus, vid namn Win32/Greener.A. [4] System 1 Det första testsystemet. Detta körs som en virtuell maskin med Windows XP SP3 x86 som operativsystem. Teknisk specifikation: Intel Core i5-2400(3.3ghz), 8GB DDR3 1333MHz, 16GB SATA2 HDD. System 2 Det andra testsystemet. Detta körs på en Dell-laptop med Windows 7 Home Edition som operativsystem. Teknisk specifikation: Intel Celeron B820(1.70GHz), 2GB DDR3 1600MHZ, 24GB SATA HDD. Protection-rate Ett sätt att mäta hur bra skydd ett antivirusprogram har i realtidsläge. Högre är bättre. Sida 3 av 12

Introduktion och syfte Denna rapports syfte är att jämföra tillförlitligheten mellan fem stycken olika antivirusprogram och försöka avgöra vilken som är bäst genom några enkla tester som vanliga användare troligtvis inte vill utsätta sina egna system för. Jag har valt att använda fem stycken olika antivirusprogram för detta test, nämligen, AVG, Nod32, MSE, Norton och F-secure. Detta kommer jag att mäta genom att kolla om de släpper igenom de virus som har samlats in för detta projekt. Vidare kommer jag även ta en titt på några andra rapporter, utförda av andra säkerhetsbolag, för att se andra virus antivirusprogrammen har stoppat eller ej. Detta för att få en större variation på olika virusattacker mot antivirusprogrammen. Jag kommer inte gå in alls på vilken slags support företaget erbjuder. Projektet omfattar bara Windows-versioner av ovan nämnda antivirusprogram. Inte heller kommer stor vikt att läggas vid de gratisversioner som finns av ovan nämnda antivirusprogram. Jag har också valt att inte lägga ned någon vikt alls på huruvida vilket antivirusprogram som kräver mest datorprestanda eller kan scanna igenom en hårddisk snabbast. Priset för ett antivirusprogram kommer inte heller vägas in för att kora det bästa antivirusprogrammet, även om priserna kommer stå med. Mätningarna kommer att ske på två system; en virtuell maskin som kör Windows XP SP3 med de senaste uppdateringarna för både operativsystem och antivirusprogram, och en äldre laptop med Windows 7 Home Edition, också den med de senaste uppdateringarna gällande operativsystem och antivirusprogram installerade. Den virtuella maskinen kommer hädanefter kallas för System 1. Laptopen kommer hädanefter kallas för System 2. Under testningen kommer båda system att vara direktuppkopplade med 100Mbits ethernet-uppkoppling utan externa brandväggar. I testet kommer de dyraste versionerna för privatpersoner att testas. Konkreta frågeställningar - Vilket antivirus är bäst? - Hur mäts det? - Vilka antivirusprogram släpper igenom vilka typer av virus? - Vilka antivirusprogram släpper genom de olika virus rapporten tar upp? Sida 4 av 12

En kort sammanfattning av antivirusprogrammen AVG AVG antivirus finns i tre versioner, AVG Antivirus Free, AVG Antivirus och AVG Internet Security. Det finns även speciella plugin eller filter för speciella ändamål såsom bland annat e-post-filtrering och serversäkerhet. AVG riktar sig främst till Windows-användare men har även några lättare versioner för Android. Priset för deras värstingversion kostar 44,95 per år. Nod32 Eset Nod32 finns i tre versioner, Nod32 Antivirus, Mobile Security och Cybersecurity. Dessa versioner finns tillgängliga för Windows, UNIX, Mac och Android/Symbian/Windows Mobile. Priset för dessa är 395 SEK per år. Eset tillundanhåller ingen gratisversion. Microsoft Security Essentials MSE är Microsofts egna antivirusprogram och finns tillgängligt för Windows och Windows Mobile. Det går inte att köpa utan ingår valfritt och kostnadsfritt till de datorer som har en giltig licens för Windows. Norton Norton finns i tre versioner, Norton 360, Norton Internet Security och Norton Antivirus. De kostar 800 SEK, 700 SEK respektive 649 SEK för ett år men gäller för upp till tre datorer. Norton erbjuder även en lite-version för Android, iphone och ipad vid namn Norton Mobile Security för priset 199 SEK år/enhet. Ingen version av Nortons antivirus stödjer officellt UNIX utan de inriktar sig främst mot Windows och Mac-miljöer. F-secure F-secure finns i två versioner, Internet Security och Anti-Virus. Priset för Anti-Virus ligger på 299 SEK per år och Internet Security ligger på 445 SEK per år. F-secure inriktar sig mest mot Windows-miljö men har även stöd för Mac och Android. Sida 5 av 12

En kort sammanfattning av de virus testet omfattar Sirefef Sirefef började dyka upp i det första kvartalet av 2012 och är en envis trojan som öppnar upp en bakdörr till användarens system. Upphovsmannen får då fjärråtkomst till den infekterade datorn och kan fjärrstyra den. Det finns olika varianter av detta virus och just Sirefef.A anses som en av de mindre skadliga. Sirefef.A är tämligen enkel att upptäcka då den ofta producerar en hel del oönskad reklam, både via webbläsare och i skrivbordsmiljö. Den slöar ned datorns prestanda men kan inte smitta vidare av sig själv. Sirefef.A kan enkelt tas bort manuellt utan hjälp av antivirusprogram genom att först döda processen och sedan tag bort filerna. Sirefef.A smittas ofta genom Googles egna Adword. Användaren söker på Google och får fram önskat sökresultat. Problemet är att sökresultatet inte är den sida det utger sig för att vara. Nedan ses en skärmdump av ett sådant tillfälle. För det otränade ögat ser det ut som rätt information och besökaren klickar på länken, går in på sidan och laddar ned Flash. I själva verket hamnar besökaren på en sida som är uppbyggd för att se ut som Adobe s egna sida för Flash. Användaren får förvisso Flash installerat men i installationsprogrammet döljer sig också Sirefef. [1] [2] Laban Laban är en trojan från ungefär mitten av 2012. Denna trojan finns bara i denna versionen, nämligen Trojan.Startpage.AABI laban.vn. Det denna trojan gör är att ändra i registret så att webbläsarens startsida ändras till laban.vn, en vietnamesisk sida. En infekterad dator kan inte smitta denna trojan vidare alls och Laban bedöms inte som hotfull för datorns prestanda och välmående. Laban installeras manuellt via en körbar fil och den gömmer sig ofta i andra program, liknande som Sirefef gör. Trojanen avlägsnas på samma sätt som Sirefef. Döda processen, tag bort posterna i registereditorn och avinstallera sedan själva programmet. Sida 6 av 12

Denna slags trojan är troligtvis den mest använda trojanen som cirkulerar på nätet och existerar enbart för att omdirigera den smittades webbläsare till en specifik sida. Sidan i sin tur, får då fler träffar och kan generera större reklamintäkter. [3] Greener Greener är ett virus som kom ut i slutet av 2008. Detta virus är tämligen svår att bli av med då den infekterar nya filer på datorn när den väl har kommit in. Greener söker genom hårddiskarna efter bildfiler med *.jpg-filändelse och infekterar dessa och gör om dom till körbara program *.exe. Detta virus gör ingenting annat skadligt på datorn förutom att korrumptera filer för att sprida sig. Huvudsyftet med viruset är att förmedla budskap, ett så kallat onödigt virus. Det genererar felmeddelanden och starar sedan upp en shutdown-sekvens på datorn vilket gör att den stänger av sig själv. Troligtvis är det någon som vill förmedla ett budskap och gör då det på detta vis. Nedan visas ett exempel på hur ett sådant meddelande kan se ut. [4] Sida 7 av 12

Resultat I resultatsdelen kommer bara System 1 & 2 åtskiljas om det är nödvändigt. Samma resultat på System 1 & 2 kommer alltså inte skrivas ut om det inte är någon skillnad. AVG AVG blockerade Sirefef och Laban direkt och försatte dessa i karantän. Greener däremot, passerade obehindrat genom AVG och det krävdes en manuell skanning av hårddisken för att upptäcka detta virus. Nod32 System 1: Nod32 klarade av att blockera alla tre virus direkt och försatte dessa i karantän utan manuell inblandning. System 2: Här blev det en liten förändring. Nod32 klarade av Sirefef och Greener utan problem men när det kom till Laban så upptäckte Nod32 det men valde av någon konstig anledning att inte blockera det. Resultatet blev att det installerades, startsidan ändrades och den skrev in sig i registret. Direkt efter upptäckt så började Nod32 varna om ett potentiellt hot och ville skanna genom hårddisken. Efter avslutad skanning ville Nod32 åtgärda problemet och började med det. Nod32 lyckades att få bort den körbara filen men inte få tillbaka startsidan för webbläsaren och registret så detta fick göras manuellt. Microsoft Security Essentials MSE blockerade alla tre virus, försatte dessa i karantän och fortsatte som vanligt. Inget spår av smitta kunde upptäckas på datorn efteråt. Norton Norton hade samma problem som AVG. Norton blockerade Sirefef och Laban utan problem. Greener passerade, fast inte obemärkt. Norton varnade om Greener men lyckades inte få bort det. Det krävdes en manuell borttagning för att få bort Greener. F-secure F-secure klarade av alla tre virus galant på båda testsystemen. Alla tre flaggades direkt och flyttades till karantän. Inga problem. Sida 8 av 12

Vidare efterforskning Här har jag sökt på Internet efter ytterligare rapporter om antivirusprogrammens säkerhet och tillförlitlighet. Det var rätt svårt att hitta information om alla de antivirusprogram jag valt för denna undersökning så jag har helt sonika fått tagit information från olika rapporter och sidor på Internet. Den första av dessa är AV-Comparatives [5] som är en en oberoende hemsida som sysslar mestadels med tester av olika antivirusprogram. Såvitt jag ser det så verkar dom inte vara sponsrade eller liknande och deras resultat verkar tillförlitligt. Deras senaste rapport för relatidsskydd fäller för perioden Augusti till November 2012 så det känns också rätt aktuellt. En annan sida jag använt mig utav är AV-Test [6] som också verkar vara väldigt tillförlitliga och ej sponsrade. För att få så tillförlitligt resultat som möjligt har jag slagit ihop resultaten från ovan nämnda sidor och presenterar nedan resultatet. Observera att testerna för AV-Test inte sträcker sig under lika långt tidsspann som AV-Compraratives gör. AV-Test s tester sträcker sig under en kortare period men återfinns någonstans under samma period som AV-Comparatives tester gör. Detta kan påverka resultatet något. F-secure Nod32 AVG MSE Norton Mars Juni 99,1% 98,1% 97,5% 89% i.u. Augusti - November 99,9% 96,9% 96,2% 90% 96% [6][7][8] Sida 9 av 12

Slutsats och diskussion Det är skrämmande att AVG och Norton, som båda uppdaterar sina virus definition-list flera gånger om dagen, fortfarande inte klarar av att hitta Greener utan manuell interaktion. Greener kom som bekant ut 2008 och att det fortfarande slinker igenom är grymt dåligt! Jag kan tänka mig att Greener har lägre prioritet än andra virus eller trojaner som är mer skadlig än denna, just därför, men det är fortfarande under all kritik. Detta betyder ju i princip att om man vill komma igenom dessa antivirusprogram så är det på detta vis ett virus skall designas. Att Nod32 inte klarade av Laban på System 2 är väldigt märkligt. System 1 klarade av det galant. Jag vet inte vad detta beror på riktigt utan kan bara spekulera. Man kan ju tycka att exakt samma Nod32 version skall klara av exakt samma virus, fast på olika system. Hårdvaran skall inte spela så stor roll och mjukvaran är nästintill densamme, förutom skillnaden på operativsystemet. Jag låter det vara osagt vad det beror på för jag vet helt enkelt inte. Jag märkte ganska fort att detta tillvägagångssätt inte var helt optimalt för min uppgift. Att mäta fem stycken antivirusprograms effektivitet mot bara tre stycken virus är inte på länga vägar nära nog för att kunna utse vilket antivirusprogram som är bäst av dessa. Problemet var att det blev väldigt tidskrävande att mäta upp detta på två olika system och att göra rollbacks efter varje nytt resultat. Det hade säkert kunnat lösas med att inkludera ett större antal virus än just tre men det hade helt enkelt tagit för mycket tid. Därför, för att kompensera, lade jag till en extern rapport. Där sökte jag helt enkelt på Internet och försökte hitta så många tester av ovan nämnda antivirusprogram som möjligt för att få en bättre överblick. Trots detta så kan jag inte direkt påstå att jag kan utse en enväldig vinnare. Det är också väldigt svårt att förbise andra egenskaper hos antivirusprogrammen, såsom, prestandaåtgång, pris, support osv. för att kora det bästa antivirusprogrammet. Det var också väldigt svårt att få tag i dessa virus i rätt versioner. Lite ironiskt att folk i allmänhet ofta klagar på att det finns så mycket virus på nätet men när jag väl ville ha tag i några specifika visade det sig vara väldigt svårt. Tanken var att jag skulle jämföra beteendet hos fem olika virus, inte tre, men jag fick inte tag på de andra två och nöjde mig med de tre jag fått tag på. Detta visade sig vara mer än nog som jag beskrev ovan, att det var på tok för tidskrävande. Hade projektet omfattat två till virus hade troligtvis tiden inte räckt till. Om jag utesluter ovan nämnda egenskaper och bara ser till prestationen på mitt egna test och de test jag har läst så skulle jag vilja rangordna de fem antivirusprogrammen på följande sätt: 1. F-secure Fick både bäst resultat i egna tester och i både övriga rapporter jag läste. 2. Nod32 Fick höga betyg i de oberoende rapporterna och fixade nästan alla mina virus galant. 3. MSE MSE blockerade alla mina tre virus men fick sämre betyg i de övriga testerna. 4. AVG AVG släppte igenom Greener vilket får ses som ett stort misslyckande. 5. Norton Norton släppte också igenom Greener. Norton fick sämre betyg rapporterna vilket gör att den hamnar sist på listan. Sida 10 av 12

Viktigt att tillägga är att MSE genomgick en större förändring under mättiden och i dagsläget vilket kan förklara varför MSE fick så låga procent i rapporterna. En annan viktig faktor som också självklart spelar in över hur bra mätresultat ett antivirusprogram får på oberoende tester är de så kallade False positives. Med det så menar man att antivirusprogrammet upptäcker ett potentiellt hot som egentligen inte är något hot utan något helt annat. Så bara för att ett antivirusprogram får högre procentantal i olika tester så behöver det inte betyda att det är bättre. Testerna i sig avslöjar sällan huruvida andelen False positives är låg eller hög. Sida 11 av 12

Referenslista [1] - http://forums.anvisoft.com/viewtopic-45-894-0.html [2] - http://www.2-spyware.com/remove-trojan-sirefef.html [3] - http://www.bitdefender.com/virus-1000657-en--trojan-startpage-aabi.html [4] - http://www.virusradar.com/en/win32_greener.a/description [5] - http://www.av-comparatives.org [6] - http://www.av-test.org/en/tests/home-user [7] - http://www.av-comparatives.org/images/docs/avc_prot_2012b_en.pdf [8] - http://www.av-comparatives.org/images/docs/avc_prot_2012a_en.pdf Hämtningsdatum för samtliga länkar är 2012-12-06 Sida 12 av 12