MRG Effitas: Тестирование защиты интернет-банкинга

Тестирование защиты интернет-банкинга лабораторией MRG Effitas в 3 квартале 2016 года проходило по следующему сценарию:

• 19 решений безопасности
• 77 образцов "In-the-Wild" финансовых угроз: клоны ZeuSv1/v2, SpyEye, Dridex и другие
• 2 активных ботнета: ZeusVM/KINS, SpyEye
• 3 симулированные атаки: HTTPSendrequestW, EncryptMessage, BHO
• Операционные системы: Windows 10 x64, Windows 7 x64
• Браузер: Internet Explorer

Тестируемые антивирусы и решения безопасности

В тестировании приняли участие продукты безопасности, среди которых комплексные антивирусные решения для дома, корпоративные продукты и инструменты для защиты от финансового мошенничества:

• Avast Internet Security 12.3.2280
• AVG Internet Security 16.101.7752
• Avira Internet Security 15.0.20.59
• BitDefender Internet Security 2016 20.0.29.1517
• ESET NOD32 Smart Security 9.0.402.0
• F-Secure Safe 16.3
• G Data Internet Security 25.2.0.2
• Kaspersky Internet Security 17.0.0.611
• McAfee Internet Security 15.0.166
• Microsoft Windows Defender 4.9.10586.494
• Panda Internet Security 17.0.0
• Quarri POQ
• Surfright HitmanPro.Alert 3.5.3
• Symantec Norton Security 22.7.1.32
• ThreatTrack Internet Security 2016 9.3.5.7
• Trend Micro Maximum Security 11.0.1158
• Watchdog Online Security Pro 2.6.205.1
• Webroot SecureAnywhere Internet Security 9.0.11.70
• Zemana Anti-Logger 2.50.2.133

Каждое решение прошло три испытания, включающие проверку уровня обнаружения распространенных финансовых угроз, возможности защиты от ботнетов, а также возможность блокировать самые последние технологии взлома.

Все этапы тестирование проводились с настройками по умолчанию. При наличии использовались специальные функции для защиты интернет-банкинга и онлайн-платежей.

Результаты тестирования

Уровень обнаружения финансовых угроз

Результаты тестирования уровня обнаружения финансовых угроз, которые включали в себя 77 активных образцов "In-the-Wild".

Защита от ботнетов

Результаты тестирование защиты от ботнетов (ZeusVM/KINS, SpyEye).

При проведении тестирования специалисты MRG Effitas обнаружили несколько проблем с антивирусными решениями для защиты конечных точек. Приведем неполный список выявленных проблем:

• В случаях с рядом образцов, несколько раз наблюдалось, как антивирус справлялся с обнаружением вредоносной программы во время загрузки системы, но во время быстрой проверки после установки не могла распознать образец. Так как антивирус принудительно не запускал перезагрузку и не рекомендовал пользователю ее выполнить, угроза оставалась активной.
• Противоречивое поведение/блокировка: некоторые решения не смогли защитить пользователя в первом тесте, но справились с защитой после первого испытания. Во время первого теста, защищенный браузер завершал работу сбоем и автоматически перезагружался. Если из 5 попыток, пользователь был защищен 4 раза, то первый случай рассматривался как неустойчивая ошибка, и продукт проходил испытание.
• Пропущенные предупреждения: некоторые антивирусы обнаружили угрозу во время установки, но не смогли уведомить пользователя об идентификации и удалении вредоносной программы. Тем не менее в журнале событий обнаружение и очистка угрозы были зарегистрированы.
• Пропущенные регистрация события и предупреждение. В некоторых случаях антивирусный продукт обнаруживал угрозу во время установки, но не предупреждал пользователя об идентификации и удалении вредоносной программы. Информация о данных событиях в журнале также отсутствовала.
• Некоторые продукты провалили бы испытание без проведения обязательного согласно методологии теста этапа перезагрузки. Многие продукты не предлагают выполнить перезагрузки и сами принудительно не вызывают ее после установки или удаления угроз.
• Некоторые продукты обнаружили угрозу и удалили вредоносную программы из файловой системы, но угроза оставалась в оперативной памяти. После удаления некоторые антивирусы не предлагали выполнить перезагрузку. Подобные случаи рассматривались как неудача, потому что некоторые пользователи не выполняют перезагрузку неделями.
• Некоторые защищенные браузеры используют в основе типы браузеров, которые не являются целью финансовых угроз. В результате, даже если вредоносная программа работала в фоновом режиме, данные браузеры проходили тест.
• Продукт обнаруживал все три вредоносные программы и предлагал заблокировать угрозу. Однако, предотвращение кражи данных при этом не происходило.

Защита от хакерских атак

Результаты тестирования, в котором симулировались методики хакерских атак.

После успешной атаки, злоумышленник может либо извлечь пароли, cookie сеанса и номера карт / CVV коды из веб-сессий или выполнить инъекцию html форм в веб-сессии (например, номера банковских карт и CVC/CVV коды), потому что шифрование SSL происходит после вызовов API. Основная цель тестов с использованием симуляторов связана с тем, что симулятор неизвестен для антивирусного решения, и обнаружить симулятор с использованием традиционных антивирусных методов не получится. Данный тест оценивают эффективность защиты против угроз нулевого дня.

Итоги

Сертификат "MRG Effitas Online Banking Browser Security" за 3 квартал 2016 года получают следующие решения:

• Kaspersky Internet Security
• Quarri POQ
• Surfright HitmanPro.Alert
• Symantec Norton Security
• Watchdog Online Security Pro
• Webroot SecureAnywhere Internet Security
• Zemana Anti-Logger

Из всех протестированных антивирусных решений 7 приложений полностью прошли два испытания (симуляция хакерских атак больше не является частью сертификации) и получили сертификат MRG Effitas за 3 квартал 2016 года. Среди них 4 продукта безопасности, которые предназначены для защиты от финансового мошенничества - Quarri POQ, HitmanPro.Alert, Watchdog Online Security Pro и Zemana Anti-Logger, остальные - комплексные антивирусы Kaspersky Internet Securit, Norton Security и Webroot SecureAnywhere Internet Security, использующие надежные технологии для защиты интернет-банкинга, которые доказали свою эффективность.

Из этих продуктов только Kaspersky и Webroot прошли все 3 этапа тестирования, включая симуляцию хакерских атак.

Результаты были получены на первом этапе тестирования Level 1 (подробный отчет), который проводится без участия разработчиков. Второй этап Level 2 (отчет еще не опубликован) предлагает возможность разработчикам решить обнаруженные в процессе тестирования проблемы, чтобы повысить эффективность своих продуктов для конечных пользователей.