Immunet Protect

[Malekal_morte]

Immunet Protect est un antivirus qui surfe sur le Cloud.
Le but est de proposer un antivirus simple et très léger. Les utilisateurs remontent les fichiers malicieux et sont ensuite analysés et ajoutés dans la base.
Plus il y a d'utilisateurs, plus il y a de remontés, meilleur est la protection.
(Ce que font déjà certains éditeurs d'antivirus depuis des années).

Immunet Protect offre une version complète et une version gratuite.
Comparaisons des fonctionnalités entre la version gratuite et payante : http://www.immunet.com/plus/compare/index.html
La différence entre la version payante se situe au niveau de la protection offline et des possibilités de suppression d'infection notamment rootkit.

A noter que l'antivirus n'offre pas de WebGuard et de filtres URL.

Téléchargement : http://telecharger.malekal.com/download ... antivirus/
Site Officiel : http://www.immunet.com/
L'interface est assez immonde mais relativement :



J'ai essayé une 30e de malwares, donc ceux là :
http-wwwclilltise-8j14renk-7ef7e34e08d20a03521d030c5106075707545d0657030f54055c52015d02015c0e-t30849.html#p242863
http-3244-php-t30848.html#p242862
trojan-renos-trojan-fakealert-dropper-t26785-570.html#p242854

La grande majorité est bloqué avec des détections de BitDefender (Trojan.Krazy, Trojan.Generic.KD, etc).






Question que je me pose :
Je n'ai malheureusement pour le moment pas de malwares (ou du mal à en trouver) qui n'est pas détecté par BitDefender pour voir si la détection est reprise par un autre antivirus.
Je me pose la question, si Immunet n'a pas vraiment de labos pour analyser les remontés mais plutôt un système automatique avec les grands antivirus du marché et quand un fichier remonté est détecté (par exemple par BitDefender), ils l'ajoutent dans la base.....

Si la détection est seulement faite par BitDefender, il est pas très pertinent d'utiliser Immunet avec BitDefender ou G-Data !

avec un faux installer MSN type demande MSN/changement de pages de démarrage (voir faux sites affiliations)

avec une détection :

File name: 62ac008c6cddc90a0790eeba1a2add07
Submission date: 2011-01-08 02:40:28 (UTC)
Current status: finished
Result: 4 /41 (9.8%)
VT Community

Compact Print results
Antivirus Version Last Update Result
AhnLab-V3 2011.01.08.00 2011.01.07 -
AntiVir 7.11.1.57 2011.01.07 TR/BegSMS.A
Antiy-AVL 2.0.3.7 2011.01.08 -
Avast 4.8.1351.0 2011.01.07 -
Avast5 5.0.677.0 2011.01.07 -
AVG 9.0.0.851 2011.01.08 -
BitDefender 7.2 2011.01.08 -
CAT-QuickHeal 11.00 2011.01.07 -
ClamAV 0.96.4.0 2011.01.08 -
Command 5.2.11.5 2011.01.08 -
Comodo 7331 2011.01.07 -
DrWeb 5.0.2.03300 2011.01.08 -
eSafe 7.0.17.0 2011.01.06 -
eTrust-Vet 36.1.8087 2011.01.07 -
F-Prot 4.6.2.117 2011.01.07 -
F-Secure 9.0.16160.0 2011.01.08 -
Fortinet 4.2.254.0 2011.01.07 -
GData 21 2011.01.08 -
Ikarus T3.1.1.90.0 2011.01.07 -
Jiangmin 13.0.900 2011.01.07 TrojanDropper.Agent.acch
K7AntiVirus 9.75.3472 2011.01.07 -
McAfee 5.400.0.1158 2011.01.08 -
McAfee-GW-Edition 2010.1C 2011.01.08 -
Microsoft 1.6402 2011.01.07 -
NOD32 5768 2011.01.07 -
Norman 6.06.12 2011.01.07 -
nProtect 2011-01-07.01 2011.01.07 -
Panda 10.0.2.7 2011.01.07 -
PCTools 7.0.3.5 2011.01.08 -
Prevx 3.0 2011.01.08 Medium Risk Malware
Rising 22.81.05.00 2011.01.08 -
Sophos 4.61.0 2011.01.08 -
SUPERAntiSpyware 4.40.0.1006 2011.01.08 Trojan.Agent/Gen-CDesc[Gen]
Symantec 20101.3.0.103 2011.01.08 -
TheHacker 6.7.0.1.112 2011.01.08 -
TrendMicro 9.120.0.1004 2011.01.07 -
TrendMicro-HouseCall 9.120.0.1004 2011.01.08 -
VBA32 3.12.14.2 2011.01.06 -
VIPRE 7991 2011.01.07 -
ViRobot 2011.1.7.4242 2011.01.07 -
VirusBuster 13.6.134.0 2011.01.07 -
Additional informationShow all
MD5 : 62ac008c6cddc90a0790eeba1a2add07
SHA1 : 718318e96d05c82030790f5509011c2375b005da
SHA256: b7e56bb16823cf2b3db148093e7ea3db54b45b19e6a63a81e23c0903ad130406

Immunet ne bronche pas - mais cela ne veux pas dire que Immunet ne partage pas les détections/remontés des antivirus qui détectent ce fichier. Il suffit que ce fichier n'aie jamais été remonté à Immunet pour qu'il le soit inconnu.

Bref difficile de se faire une idée.




Bien entendu quand on tombe sur un malware tout frais, on est au même point que si on était avec un ou plusieurs antivirus.
La limite de la multiplication des protections.


~~

* Support : http://support.immunet.com/tiki-index.php?page=HomePage
(Vous y trouverez quelques articles concernant la cohabitation d'Immunet avec d'autres antivirus)
* Manuel d'utilisation : http://forum.immunet.com/index.php?/pag ... ng-immunet

[Malekal_morte]

Encore un cas où le fichier est détecté par d'autres antivirus et pas BitDefender et où Immunet dit rien :

File name: KB4933906.exe
Submission date: 2011-01-10 14:02:08 (UTC)
Current status: queued (#21) queued analysing finished
Result: 6/ 43 (14.0%)

Compact Print results
Antivirus Version Last Update Result
AhnLab-V3 2011.01.10.00 2011.01.09 -
AntiVir 7.11.1.75 2011.01.10 TR/Crypt.ZPACK.Gen
Antiy-AVL 2.0.3.7 2011.01.10 -
Avast 4.8.1351.0 2011.01.10 -
Avast5 5.0.677.0 2011.01.10 -
AVG 9.0.0.851 2011.01.10 -
BitDefender 7.2 2011.01.10 -
CAT-QuickHeal 11.00 2011.01.10 -
ClamAV 0.96.4.0 2011.01.10 -
Command 5.2.11.5 2011.01.10 -
Comodo 7351 2011.01.10 -
DrWeb 5.0.2.03300 2011.01.10 -
Emsisoft 5.1.0.1 2011.01.10 Trojan.Crypt!IK
eSafe 7.0.17.0 2011.01.10 -
eTrust-Vet 36.1.8090 2011.01.10 -
F-Prot 4.6.2.117 2011.01.09 -
F-Secure 9.0.16160.0 2011.01.10 -
Fortinet 4.2.254.0 2011.01.10 -
GData 21 2011.01.10 -
Ikarus T3.1.1.90.0 2011.01.10 Trojan.Crypt
Jiangmin 13.0.900 2011.01.10 -
K7AntiVirus 9.75.3472 2011.01.07 -
Kaspersky 7.0.0.125 2011.01.10 Trojan-Downloader.Win32.FraudLoad.yett
McAfee 5.400.0.1158 2011.01.10 -
McAfee-GW-Edition 2010.1C 2011.01.10 -
Microsoft 1.6402 2011.01.10 -
NOD32 5773 2011.01.10 a variant of Win32/Kryptik.JNK
Norman 6.06.12 2011.01.10 -
nProtect 2011-01-10.01 2011.01.10 -
Panda 10.0.2.7 2011.01.09 Suspicious file
PCTools 7.0.3.5 2011.01.10 -
Prevx 3.0 2011.01.10 -
Rising 22.82.00.03 2011.01.10 -
Sophos 4.61.0 2011.01.10 -
SUPERAntiSpyware 4.40.0.1006 2011.01.10 -
Symantec 20101.3.0.103 2011.01.10 -
TheHacker 6.7.0.1.112 2011.01.09 -
TrendMicro 9.120.0.1004 2011.01.10 -
TrendMicro-HouseCall 9.120.0.1004 2011.01.10 -
VBA32 3.12.14.2 2011.01.06 -
VIPRE 8017 2011.01.10 -
ViRobot 2011.1.10.4246 2011.01.10 -
VirusBuster 13.6.137.0 2011.01.10 -
Additional informationShow all
MD5 : 48371e030807ad093700b53359cf0d90
SHA1 : 32e9c5b9407b06da7dd8e878377da8959fd240d1
SHA256: 4b8cac55422c123bc674fb3a431768d3d651efa56412695af1475e557e363f2f

[sioban]

J'en profite pour reposter le test de MRG : http://malwareresearchgroup.com/wp-cont ... -20113.zip

Je comprends mieux ce qu'est Immunet, pour un particulier c'est envisageable, pour une entreprise... Si tout doit remonter sur Internet ça va vite saturer le lien Internet (déjà que Artemis fait tomber les DNS...).

Après ils n'analyse pas vraiment les fichiers, ils font uniquement une comparaison de signature, pour trouver du générique ça va pas être possible (quoique la version payante amène certaines fonctions)...

[sioban]

J'ai discuté hier sur le sujet d'Immunet directement avec Sourcefire.
Détail amusant : il n'a pas mentionné Bitdefender.

Pour eux Immunet fait plus que de la réputation dans le cloud : ils générent 3 empreintes du fichier.
- Une première qui ressemble à un MD5 soumis au moteur de connaissance (je connais et je sais qu'il est sain, je connais et je sais qu'il est virulent, je ne connais pas encore)
- Une deuxième et une troisième avec certaines parties clés du fichier (ce que fait potentiellement le fichier, à quoi il accède, etc) s'éxecutant soumis à un arbre de décision et aux données statistiques de l'ensemble des remontées.

Potentiellement s'il y a un doute, le système demande à l'utilisateur si le fichier peut être soumis.

La grosse différence selon eux c'est que le système peut informer à posteriori de la nocivité d'un fichier executé précédemment. Même si c'est trop, au moins on est au courant que ce fichier était vérolé et à mon avis cela facilite la réparation puisqu'on a identifié la source de l'infection.

Pour moi j'y vois deux soucis :
- comment analyser le comportement d'un virus contenu dans un dropper sans executer le dropper ?
- ils n'ont pas su me dire si l'analyse se faisait au moment de la lecture du fichier sur le disque ou au moment de l'execution d'un code binaire en mémoire (injection, exploit, etc)

Est-ce que tu as pu le tester sur les injections de dll ?

[Malekal_morte]

Pour les injections, je pense qu'il faut que l'exe soit lancé.

Du coup j'ai essayé ces deux là :
https://www.malekal.com/2011/09/06/back ... njections/
https://www.malekal.com/2011/09/22/back ... e-rootkit/

il a pas bronché.

Pas l'air super réactif. Si pas détecté par BitDefender, ça a l'air mort.
Balancé qq malwares récents, il a pas bronché.
Le scan trouve 2 éléments mais pas d'info pour savoir lesquels.

[sioban]

ça confirme...

[devadip]

slt
question à malekal:
je lisais un article de immunet sur silicon.fr et comme je ne connaissais pas, je fais une recherche sur le net puis sur le forum et donc j'arrive sur ce post. et il y a un truc que je comprend pas. tu parles plusieurs fois de BitDefender et je ne comprends pas trop ce viens faire cet AV ici
et 2e question, 1 an après ton post, a tu des précisions sur ce logiciel
@+