MRG Effitas: Тестирование защиты интернет-банкинга

Тестирование защиты интернет-банкинга лабораторией MRG Effitas в 4 квартале 2016 года проходило по следующему сценарию:

• 19 решений безопасности
• 78 образцов "In-the-Wild" финансовых угроз: клоны ZeuSv1/v2, SpyEye, Dridex и другие
• 2 активных ботнета: Citadel, SpyEye
• 2 симулированные атаки: Перехват вызовов API-функций (HTTPSendrequestW, EncryptMessage)
• Операционные системы: Windows 10 Pro x64
• Браузер: Internet Explorer

Тестирование проводится в два этапа. Первый этап тестирования Level 1 (подробный отчет) проводится без участия разработчиков. Второй этап Level 2 (подробный отчет) предлагает возможность разработчикам решить обнаруженные в процессе тестирования проблемы, чтобы повысить эффективность своих продуктов для конечных пользователей.

Тестируемые антивирусы и решения безопасности

В тестировании приняли участие продукты безопасности, среди которых комплексные антивирусные решения для дома, корпоративные продукты и инструменты для защиты от финансового мошенничества:

Каждое решение прошло три испытания, включающие проверку уровня обнаружения распространенных финансовых угроз, возможности защиты от ботнетов, а также возможность блокировать самые последние технологии взлома.

Все этапы тестирование проводились с настройками по умолчанию. При наличии использовались специальные функции для защиты интернет-банкинга и онлайн-платежей.

Результаты тестирования

Уровень обнаружения финансовых угроз

Результаты тестирования уровня обнаружения финансовых угроз, которые включали в себя 78 активных образцов "In-the-Wild".

Защита от ботнетов

Результаты тестирование защиты от ботнетов (Citadel, SpyEye).

	Приложение предотвратило перехват данных вредоносным ПО в той же сессии
	Приложение не предотвратило перехват данных вредоносным ПО в той же сессии
	Падение браузера при тестировании

При проведении тестирования специалисты MRG Effitas обнаружили несколько проблем с антивирусными решениями для защиты конечных точек. Приведем неполный список выявленных проблем:

• В случаях с рядом образцов, несколько раз наблюдалось, как антивирус справлялся с обнаружением вредоносной программы во время загрузки системы, но во время быстрой проверки после установки не могла распознать образец. Так как антивирус принудительно не запускал перезагрузку и не рекомендовал пользователю ее выполнить, угроза оставалась активной.
• Противоречивое поведение/блокировка: некоторые решения не смогли защитить пользователя в первом тесте, но справились с защитой после первого испытания. Во время первого теста, защищенный браузер завершал работу сбоем и автоматически перезагружался. Если из 5 попыток, пользователь был защищен 4 раза, то первый случай рассматривался как неустойчивая ошибка, и продукт проходил испытание.
• Пропущенные предупреждения: некоторые антивирусы обнаружили угрозу во время установки, но не смогли уведомить пользователя об идентификации и удалении вредоносной программы. Тем не менее в журнале событий обнаружение и очистка угрозы были зарегистрированы.
• Пропущенные регистрация события и предупреждение. В некоторых случаях антивирусный продукт обнаруживал угрозу во время установки, но не предупреждал пользователя об идентификации и удалении вредоносной программы. Информация о данных событиях в журнале также отсутствовала.
• Некоторые продукты провалили бы испытание без проведения обязательного согласно методологии теста этапа перезагрузки. Многие продукты не предлагают выполнить перезагрузки и сами принудительно не вызывают ее после установки или удаления угроз.
• Некоторые продукты обнаружили угрозу и удалили вредоносную программы из файловой системы, но угроза оставалась в оперативной памяти. После удаления некоторые антивирусы не предлагали выполнить перезагрузку. Подобные случаи рассматривались как неудача, потому что некоторые пользователи не выполняют перезагрузку неделями.
• Некоторые защищенные браузеры используют в основе типы браузеров, которые не являются целью финансовых угроз. В результате, даже если вредоносная программа работала в фоновом режиме, данные браузеры проходили тест.
• Продукт обнаруживал все вредоносные программы и предлагал заблокировать угрозу. Однако, предотвращение кражи данных при этом не происходило.

Защита от хакерских атак

Результаты тестирования, в котором симулировались методики хакерских атак.

	Приложение блокировало симулятор
	Приложение не блокировало симулятор
	Приложение предупреждает, но не может блокировать симулятор

* По умолчанию "Безопасные платежи" в Kaspersky Internet Security запускает Internet Explorer, который не защищает от этой атаки, однако, при использовании Chorme или Firefox в качестве безопасного браузера данные не могут быть перехвачены. Антивирус прошел это испытание на втором этапе тестирования (Level 2).

После успешной атаки, злоумышленник может либо извлечь пароли, cookie сеанса и номера карт / CVV коды из веб-сессий или выполнить инъекцию html форм в веб-сессии (например, номера банковских карт и CVC/CVV коды), потому что шифрование SSL происходит после вызовов API. Основная цель тестов с использованием симуляторов связана с тем, что симулятор неизвестен для антивирусного решения, и обнаружить симулятор с использованием традиционных антивирусных методов не получится. Данный тест оценивают эффективность защиты против угроз нулевого дня.

Итоги тестирования

Сертификат "MRG Effitas Online Banking Browser Security" за 4 квартал (Q4) 2016 года получают следующие решения:

• Avira Internet Security
• BitDefender Internet Security
• F-Secure Safe
• Kaspersky Internet Security
• McAfee LiveSafe
• Panda Internet Security
• Quarri POQ
• Symantec Norton Security
• Trend Micro Maximum Security

Из всех протестированных антивирусных решений 9 приложений полностью прошли два испытания (симуляция хакерских атак больше не является частью сертификации) и получили сертификат MRG Effitas за 4 квартал 2016 года. Среди них один продукт безопасности, которые предназначены для защиты от финансового мошенничества - Quarri POQ, остальные продукты- комплексные антивирусы, использующие надежные технологии для защиты интернет-банкинга, которые доказали свою эффективность.

Из этих продуктов только Bitdefender и Quarri POQ прошли все 3 тестирования, включая симуляцию хакерских атак, на первом этапе тестирования (Level 1). Kaspersky Internet Security прошел все уровни тестирования на втором этапе (Level 2).