Wyniki testu z września 2026: Jak gwałtownie antywirusy zatrzymują uruchomione malware?

Po zakończonej wrześniowej edycji Advanced In-The-Wild Malware Test publikujemy podsumowanie, w którym przyglądamy się nie tylko skuteczności ochrony, ale również temu, co dzieje się w systemie pomiędzy uruchomieniem złośliwego systemu a jego wykryciem i neutralizacją. Rozpatrzymy dzisiaj sytuację, kiedy kilka rozwiązań osiąga identyczny wynik skuteczności, mimo iż przebieg ochrony był zupełnie inny. Jeden produkt zatrzymuje zagrożenie jeszcze przed uruchomieniem, drugi dopiero po wykonaniu części złośliwych operacji. W obu przypadkach wynik testu może wskazywać na skuteczną ochronę, jednak z perspektywy bezpieczeństwa istotne jest również to, co malware zdążyło zrobić w systemie.

Chcemy zwrócić szczególną uwagę na przebieg ataków, moment reakcji produktów ochronnych oraz ślady pozostawione przez złośliwe oprogramowanie. Wykorzystując zgromadzoną telemetrię, pokażemy, dlaczego sam procent zablokowanych zagrożeń nie zawsze przedstawia pełny obraz działania ochrony.

Rozróżniamy następujące poziomy ochrony

W analizach uwzględniamy dwa główne poziomy ochrony:

• Web-Layer Protection, czyli blokowanie zagrożeń na etapie dostępu do złośliwego adresu lub pobierania pliku
• oraz Runtime Defense obejmujący wykrywanie i neutralizację malware po jego uruchomieniu.
  
  

W drugim przypadku szczególnie istotne jest ustalenie, jakie działania zdążyło wykonać złośliwe oprogramowanie przed reakcją produktu ochronnego oraz czy zostały usunięte skutki jego aktywności.

Ogólnie przebieg aktywności złośliwego systemu w naszym środowisku testowym można przedstawić w następujących etapach:

Czy testowane rozwiązania zapewniały porównywalny poziom ochrony systemu?

Przebieg ataku i reakcje ochrony

Próbka SHA-256 [4f9…32f] dla CatchPulse Pro:

Aby wyjaśnić tę sytuację, warto przypomnieć konfigurację CatchPulse Pro, stosowaną w naszych testach. Korzystamy z ustawień domyślnych z włączonym trybem „Block Mode”, który odpowiada za blokowanie wykrytych zagrożeń. W analizowanym przypadku próbka nie została zatrzymana na etapie Web-Layer Protection. Plik został pobrany, a następnie uruchomiony, co pozwoliło nam zaobserwować reakcję produktu na aktywne zagrożenie.

CatchPulse Pro wykrył i zablokował złośliwą aktywność. Czy to jednak oznacza, iż system pozostał wolny od zmian i pozostałości po malware? Sprawdźmy na podstawie zarejestrowanej telemetrii dostępnej dla producentów po teście.

Oś czasu

W analizowanym przypadku utworzenie pliku Blocked.log nastąpiło dokładnie 4,4 sekundy po próbie uruchomienia malware. Nie oznacza to jednak, iż silnik ochronny potrzebował dokładnie tyle czasu w wykrycie i zablokowanie zagrożenia. Dodatkowo warto zauważyć, iż próbka pozostawała na dysku przez 2 minuty i 43 sekundy przed próbą jej uruchomienia. W tym czasie wykonywane były różne procedury testowe, w tym obliczanie sumy kontrolnej SHA256. CatchPulse Pro nie zablokował pliku na tym etapie. Reakcję produktu odnotowaliśmy dopiero po próbie uruchomienia malware.

Próbka malware SHA-256 [4f9…32f] dla WithSecure Elements

W tym scenariuszu WithSecure nie zatrzymało zagrożenia podczas pobierania pliku. Próbka została zapisana na dysku i pozostawała tam przez około 2 minuty i 38 sekund przed uruchomieniem. W tym czasie podobnie były wykonywane różne procedury testowe. Ochrona zareagowała na etapie Runtime Defense. W logach widzimy, iż Sysmon potwierdził uruchomienie złośliwego pliku, a następnie zakończenie jego procesu po około 0,8 sekundy. Niemal równocześnie komponent WithSecure rozpoczął zapisywanie danych w repozytorium kwarantanny.

W zarejestrowanych zdarzeniach nie stwierdziliśmy dodatkowych procesów uruchomionych przez malware ani zmian w plikach lub rejestrze przypisanych do jego procesu. Oznacza to, iż zagrożenie zostało zatrzymane na bardzo wczesnym etapie działania.

Oś czasu

Sample SHA-256 [4f9…32f] dla Emsisoft Enterprise Security

Z kolei tutaj na podstawie logów wiemy, iż Emsisoft dopuścił do pobrania próbki i zapisania jej na dysku. Podczas późniejszej próby uruchomienia pliku nie odnotowaliśmy utworzenia procesu malware. Za to odnotowaliśmy, iż komponent antywirusowy „a2service.exe” zapisał dane w dzienniku EDR i utworzył plik w katalogu kwarantanny.

Na podstawie zdarzeń możemy zatem wywnioskować, iż produkt przejął zagrożenie podczas próby uruchomienia, zanim Sysmon zarejestrował wykonanie złośliwego pliku.

Oś czasu

Konfiguracja testowanych rozwiązań

Rozwiązania klasy Enterprise

Dla małego biura i dla domu

Advanced In-The-Wild Malware Test - metodologia i zakres badania

W ciągu roku przeprowadzamy sześć edycji testu rozwiązań konsumenckich i biznesowych. Sprawdzamy skuteczność ochrony przed rzeczywistymi zagrożeniami malware, analizując sposób i moment ich blokowania na poszczególnych etapach ataku.

Web-Layer Protection – ochrona przed zagrożeniami pochodzącymi z Internetu, obejmująca blokowanie złośliwych adresów URL, pobierania plików oraz dostępu do niebezpiecznych zasobów.

Runtime Defense – ochrona podczas próby uruchomienia malware i po rozpoczęciu wykonywania kodu, obejmująca analizę behawioralną, wykrywanie podejrzanych działań oraz przeciwdziałanie technikom fileless i innym zaawansowanym zagrożeniom.

Remediation Time – czas potrzebny na neutralizację zagrożenia i przywrócenie systemu do bezpiecznego stanu.

Podczas testów zbieramy również telemetrię systemową, która pozwala analizować techniki MITRE ATT&CK, wektory infekcji oraz taktyki, techniki i procedury (TTP) wykorzystywane przez cyberprzestępców.

Więcej o AVLab

AVLab Cybersecurity Foundation to niezależne laboratorium cyberbezpieczeństwa, które od 2012 roku specjalizuje się w testowaniu i ocenie skuteczności rozwiązań ochronnych. Jesteśmy członkiem AMTSO (Anti-Malware Testing Standards Organization) oraz uczestnikiem programu Microsoft Virus Initiative (MVI).

Prowadzimy testy oparte na rzeczywistych zagrożeniach i realistycznych scenariuszach ataków. Oceniamy zdolność produktów do wykrywania, blokowania i neutralizowania zagrożeń, analizując również ich zachowanie na poszczególnych etapach ataku. Publikowane wyniki, poparte danymi telemetrycznymi, pomagają użytkownikom i organizacjom podejmować świadome decyzje dotyczące wyboru technologii bezpieczeństwa.