Test von portablen Virenscannern – Teil 1:

In diesem Testbericht habe ich mehrere portable Virenscanner einem Test unterzogen. Zur Gegenprüfung fand ein Scan mit lokal installierten Virenscannern statt. Die Vorstellung aller portablen und U3-Virenscanner finden Sie in meinem Bericht --> http://www.security-dome.eu/U3-Universelle_Prevention-Virenscanner_Teil2.html

Updates zum vorherigen Test sind grün markiert!

Themen dieses Berichts (was Sie erwartet):

• Allgemein

• Wichtig --> Was dieser Test nicht aussagen soll / Was dieser Test aussagen soll / Tipp / Copyright

• Testumgebung --> Plattformen / Durchführung / Ordner / Benutzerkonten / Malware Archiv#1 (33 Dateien) / Malware Archiv #2 (85 Dateien)

• Anti-Viren Programme --> Wichtig

• Tabelle Erklärungen --> Spalte 1 / Spalte 2 / Spalte 3 / Spalte 4 / Spalte 5 / Spalte 6 / Spalte 7 / Spalte 8 / Spalte 9 / Spalte 10

• Tabelle

• Empfehlung --> Lokale Virenscanner / Kombination / Portable Virenscanner / U3-Virenscanner / Sonderstellung Dr.Web CurlIt

• Vorschau

• Interne Links

• Externe Links

Allgemein:

Sehr oft haben wir uns im securITy-dome.eu Forum gefragt, ob portable Virenscanner ähnlich gute Erkennungsraten wie lokal installierte Virenscanner haben. Dieser Frage bin ich jetzt auf den Grund gegangen und habe die Erkennungsraten getestet.

Dabei ist dieser Test nicht als vollwertiger „Erkennungsraten-Test“ zu verstehen, sondern soll nur eine Idee bzw. eine Vorstellung über die Leistungsfähigkeit von portablen Virenscannern geben.

Für diesen Test wurden mehrere Malware-Dateien an verschiedenen Stellen des Systems versteckt. Die Prüfung fand dabei auf verschiedenen Plattformen statt.

Wichtig:

Was dieser Test nicht aussagen soll:

Dieser Test soll NICHT als Alternative oder gar Ersatz zu lokal installierten Virenscannern verstanden werden!

Was dieser Test aussagen soll:

Dieser Test soll ein Vergleich der Funktionen und Erkennungsrate von portablen Virenscannern sein. Er ist dazu gedacht, einen lokal installierten Virenscanner zu ergänzen, bzw. als „zweite Meinung“ bei einem Malware-Fund zu dienen.

Ich möchte mich mit diesem Test ganz deutlich von dem „Konkurrenzgedanken“ distanzieren! Vielmehr soll gezeigt werden, das eine vernünftige Kombination von verschiedenen Produkten die Sicherheit erhöht!

Ausserdem sollen die getesteten Produkte dazu dienen, z.B. auf Fremdsystemen eine aussagekräftige Analyse / Entfernung von Malware zu liefern. Als Referenz und Hintergrundgedanke lesen Sie bitte den Bericht --> http://www.security-dome.eu/__U3-Universelle_Auditing-und_Preventionlosung__.html

Tipp:

Um ein aussagekräftiges Ergebnis zu erhalten, achten sie darauf, das unterschiedliche Scan-Engines eingesetzt werden! Es macht relativ wenig Sinn, wenn bei einer Analyse der lokale- und der portable Virenscanner mit der gleichen Scanengine arbeiten. In meiner Produktauswahl finden Sie genügend unterschiedliche Scanengines, die Ihren lokalen Virenscanner ergänzen können.

Für ein bestmögliches Ergebnis achten Sie darauf, die portablen Virenscanner mit administrativen Rechten auszuführen!

Copyright:

Dieser Test hat mich viele Wochen Arbeit gekostet, da alle Tests mehrfach unter verschiedenen Voraussetzungen gemacht wurden. Deshalb sind teilweise oder komplette Veröffentlichungen aus diesem Bericht nur mit meiner schriftlichen Genehmigung erlaubt. Beachten Sie deshalb bitte mein Copyright am Ende des Berichts!

Testumgebung:

Plattformen:

Es wurden mehrere unterschiedliche Plattformen aufgebaut:

• virtuelle Maschine mit Windows Vista Ultimate 32bit und einem installierten G Data AntiVirus 2008

• Rechner mit Windows XP Professional SP2 und einem lokal installierten G Data AntiVirus 2008

• virtuelle Maschine mit Windows Vista Ultimate 32bit und einem installierten F-Secure AntiVirus 2008

• Laptop mit Windows Vista Ultimate 32bit und einer lokal installierten Norton Internet Security (NIS) 2008

• virutelle Maschine mit Windows Vista Ultimate 32bit und einem intstallierten Eset NOD32 Version 3

• virtuelle Maschine mit Windows XP Professional SP2 und einem installierten Eset NOD32 Version 3

• Laptop mit Windows XP Professional SP2 und einem lokal installierten AVG Anti-Virus Free Edition 7

• virtuelle Maschine mit Windows Vista Ultimate 32bit und einem installierten Avira AntiVir PersonalEdition 7

Durchführung:

Soweit möglich wurden folgende Einstellungen in der entsprechenden Anti-Virenlösung vorgenommen:

• 1 mal komplette Prüfung des Systemlaufwerks mit jeder Anti-Virenlösung – weitere Prüfungen fanden in den betroffenen Ordnern statt

• gefundene Malware löschen (wenn Funktion vorhanden)

• gefundene Malware in Quarantäne verschieben (wenn Funktion vorhanden)

• Systembereiche prüfen

• Arbeitsspeicher (laufende Prozesse) prüfen

Ordner:

Die verschiedene Malware des Archivs#1 wurde in unterschiedlichen Ordnern abgelegt, um die Funktionsweise unter unterschiedlichen Berechtigungen zu prüfen. Folgende Ordner waren betroffen:

• Programme (Systemverzeichnis mit NTFS-Schreibberechtigung für die Gruppe der Administratoren)

• AV-Test (normaler Ordner mit NTFS-Schreibberechtigung für die Gruppen Administratoren und Benutzer)

Die verschiedene Malware des Archivs#2 wurde in einem Ordner mit NTFS-Schreibrechten für Administratoren und Benutzer abgelegt. Hier wurde einmal ein *.rar Archiv mit allen Malware-Dateien und auch ein komplett entpackter Ordner angelegt, um die Unterstützung von Archiven zu prüfen. Das *.rar Archiv war dabei unter anderem auch mehrfach gepackt.

Benutzerkonten:

Unter Microsoft Windows Vista und XP wurde jede Prüfung unter einem Administratorkonto ausgeführt. Die Ausführung unter einem normalen Benutzerkonto ist nicht empfehlenswert, da weitreichende Schreibberechtigungen zum Desinfizieren von Malware für die portablen Virenscanner fehlen würden. Ebenso sind die Leseberechtigungen teilweise eingeschränkt, so dass ein Test wenig Aussagekraft hätte.

Durch die Besonderheit der UAC (User Account Control) unter Microsoft Windows Vista wurden die Anti-Virenprogramme (soweit möglich) noch explizit unter administrativen Rechten ausgeführt, wenn sie nicht automatisch von der UAC erkannt wurden --> rechtsklick auf das Anti-Virenprogramm --> „Als Administrator ausführen“.

Malware Archiv#1 (33 Dateien):

Folgende Malware wurde auf dem System verteilt (jeder Ordner hatte eine Kopie der gleichen Malware):

• Eicar Testfile (normal, einfach gepackt, doppelt gepackt) = 3 Dateien

• Ikarus Testvirus = 1 Datei

• Backdoor (normal, einfach gepackt, doppelt gepackt) = 3 Dateien

• Viren (teilweise einfach und mehrfach gepackt) = 5 Dateien

• Trojaner (nicht gepackt) = 3 Datei

• Würmer (teilweise nicht gepackt, einfach und mehrfach gepackt) = 9 Dateien

• Bots (nicht gepackt, einfach und mehrfach gepackt) = 3 Dateien

• Toolbar, die als Spy-/Adware erkannt wird (Elite Toolbar) + Installationsdatei = 2 Datei

• Risikoprogramme (nicht gepackt und einfach gepackt bzw. als Installationsdatei) = 4 Dateien

Malware Archiv#2 (85 Dateien):

Das Malware Archiv#2 enthält 518 Dateien, von welchen insgesamt 85 schadhaft sind. Die Dateien waren im ersten Test teilweise mehrfach gepackt (*.rar und *.zip). Im zweiten Testdurchlauf waren alle Archive komplett entpackt. Das Archiv enthält folgende Malware:

• Nuker

• Bots

• Trojaner

• Trojan Dropper

• Passwort-Stealer

• Keylogger

• Viren

• Agents

• Risikoprogramme

• Würmer

• Bomber

• usw.

Die Malware-Dateien sind sehr aktuell und wurden am 12.12.2007 gepackt und mit Kaspersky Internet Security (KIS) geprüft. Das Ergebniss vom 12.12.2007 lag bei 74 gefundenen Dateien durch KIS.

Anti-Virenprogramme:

Bei diesem Test wurden insgesamt 23 Anti-Virenprogramme getestet. Diese unterteilen sich wie folgt:

• 13 portable Virenscanner

• 3 spezielle U3-Versionen der Virenscanner

• 7 unterschiedliche lokal installierte Virenscanner

Wichtig:

Bei meiner Recherche bin ich auch auf angebliche protable Anti-Virenprogramme gestossen, die selber möglicherweise Malware enthalten. Zu diesen Programmen werden keine Links genannt. Dies heisst aber nicht, das die Programme wirklich schadhaft, sondern nur suspekt sind. Alle hier vorgestellten Programme wurden einer ausgiebigen Prüfung durch mehrer Virenscanner unterzogen. Trotzdem kann und werde ich keine Verantwortung oder Haftung für die hier vorgestellten Programme übernehmen!

Tabelle Erklärungen:

Im folgenden finden Sie eine Erläuterung zu der Tabelle. Wichtig ist mir hierbei Ihr Verständniss für meine Entscheidung auf eine „Platzierung“ zu verzichten! Es geht hier nicht um Verlierer oder Gewinner, sondern um eine zielführende Kombination, die die Sicherheit des geprüften Systems verbessern soll!

Weiterhin ist die Erkennungsrate zwar wichtig, aber nicht das alleinige Kriterium! Wichtig sind insbesondere auch eine integrierte Update-Funktion, die Kompatibilität und die Report-Funktion.

Spalte 1 – Produkt/Version/Signaturdatum:

• Produkt: Produktbezeichnung

• Version: Version des Programs

• Signaturdatum: Datum der Signaturdatenbank

• neue Produkte bzw. Versionen werden in Zukunft in der Spalte 1 in grün markiert

Spalte 2 – Betriebssystem/ausführendes Konto:

• Betriebssystem: Bezeichnung des Betriebssystems

• ausführendes Konto: Konto, unter welchem die Analyse durchgeführt wurde. „als Administrator ausführen“ bezeichnet die explizite Ausführung als Administrator unter Microsoft Windows Vista --> rechtsklick auf das Anti-Virenprogramm --> „Als Administrator ausführen“.

• Farblegende: zur besseren Unterscheidung! Microsoft Windows Vista Ultimate 32bit / Microsoft Windows XP SP2

Spalte 3 – UAC-Nachfrage:

• UAC-Nachfrage: steht hier „Ja“, wurde von Microsoft Windows Vista automatisch erkannt, das das Programm administrative Berechtigungen benötigt. Wird dies Frage bestätigt, werden dem Programm automatisch administrative Rechte erteilt.

Spalte 4 – Programmverzeichnis Gefunden/Entfernt von gesamt 33 Schadprogrammen:

• Programmverzeichnis: schreibgeschütztes Systemverzeichnis in Microsoft Windows. Benutzer mit normalen Berechtigungen haben hier keine Schreibzugriffe (Malware kann von portablen Virenscanner unter dem Konto „eingeschränkter Benutzer“ nicht aus dem Ordner entfernt werden)

• Gefunden/Entfernt: zeigt an, wie viele Dateien gefunden/entfernt wurden. Hier wurde auch die „Quarantäne-Funktion“ geprüft (wenn vorhanden). Wenn die „Quarantäne-Funktion“ nicht funktioniert, wurde dies in der Spalte „Bemerkungen“ aufgeführt.

Spalte 5 – Normales Verzeichnis Gefunden/Entfernt von gesamt 33 Schadprogrammen:

• Verzeichnis ohne NTFS-Einschränkungen für normale Benutzer

Spalte 6 – Gepacktes/Ungepacktes Virenarchiv von insgesamt 85 Schadprogrammen:

• Verzeichnis ohne NTFS-Einschränkungen mit mehrfach gepackten und ungepackten Schadprogrammen

Spalte 7 – Integrierte Update-Funktion:

• zeigt an, ob ein Programm eine integrierte und funktionierende Update-Funktion bietet

Spalte 8 – Report-Funktion:

• zeigt an, ob ein Programm eine integrierte und funktionierende Report-Funktion bietet

Spalte 9 – Bemerkungen:

• allgemeine Auffälligkeiten und Vorkommnisse

Spalte 10 – Link:

• Link zur Homepage des Herstellers

Tabelle:

Empfehlung:

Ich möchte hier sowohl eine Kombination von lokalem- und portablen Virenscanner empfehlen, als auch portable Virenscanner mit einem guten Gesamtergebnis inkl. der gebotenen Funktionen.

Lokale Virenscanner:

Eine Empfehlung kann nach meinen Testergebnissen nur für G Data AntiVirus 2008 und F-Secure AntiVirus ausgesprochen werden.

Kombination:

Eine Kombination aus G Data AntiVirus 2008 und Dr.Web CurlIt hat in meinen Testumgebungen zu einer Erkennungsrate von 100 Prozent bei dem Archiv#1 geführt. Im Archiv#2 konnte Dr.Web CurIT leider nicht mehr überzeugen. Die Schwäche von Dr.Web CurlIt keine Archive zu prüfen, wird wiederum von G Data AntiVirus perfekt ausgeglichen.

Portable Virenscanner:

Das beste Programm in Kombination aus Erkennungsraten und Funktionen ist:

• ClamWin Portable: hohe Erkennungsraten und die umfangreichsten Funktionen im Testfeld unter den portablen Virenscannern

• Momentan kann keine kombinierte Empfehlung ausgesprochen werden, da Micorwold AV keine Entfernung bietet und unter anderem die gleiche Scan-Engine nutzt, wie meine lokalen Empfehlungen G Data AntiVirus 2008 und F-Secure AntiVirus 2008. Wer aber einen lokalen Virenscanner einsetzt, der nicht auf der Kaspersky-Engine beruht, ist mit Microworld AV sehr gut beraten

Weitere Empfehlenswerte portable Virenscanner sind:

• MicroWorld Free AntiVirus Toolkit Utility: sehr gute Erkennungsraten, integrierte Update- und Report-Funktion, aber keine Entfernung in der freien Version möglich

• VBA32: noch gute Erkennung (für portable Virenscanner), aber keine integrierte Update-Funktion und keine Entfernung in der portablen (freien) Version möglich

• F-Prot: Erkennung von Archiv-Viren aber keine Entfernung, guter Funktionsumfang, keine integrierte Update-Funktion

U3-Virenscanner:

• Avast! U3 Edition: mässige Erkennungsraten, sehr umfangreiche Funktionen inkl. Hintergrundwächter für den U3-Stick

Sonderstellung Dr.Web CurlIt:

Dr.Web CurlIt hätte mit einer Unterstützung von Archiven 29 Malware-Dateien im Archiv#1 entdeckt. Dies wäre die zweitbeste Erkennungsrate im Archiv#1 gewesen. Leider sind die Erkennungsraten im Archiv#2 nur mässig.

Vorschau:

Neben portablen Virenscanner gibt es auch eine Reihe portable Scanner, die sich auf andere Malware (Trojaner, Würmer, Ad- und Spyware) spezialisiert haben. Die Grenzen sind aber fliessend und die Produkte erkennen oftmals auch andere Malware.

Ein Test wird zeigen, ob die allgemeine Meinung über Spezial-Scanner noch Realität ist, oder ob diese Programme auch Malware ausserhalb ihrer Spezialisierung erkennen können.

Dieser Test wird in Kürze folgen.

Interne Links:

U3 als universelle Werkzeugkiste und Auditsystem für Rechnersysteme – Teil 1: http://www.security-dome.eu/__U3-Universelle_Auditing-und_Preventionlosung__.html

Vorstellung von 15 portablen Virenscanner – U3/USB-Technik gegen Malware – Teil 2: http://www.security-dome.eu/U3-Universelle_Prevention-Virenscanner_Teil2.html

MicroWorld Free AntiVirus Toolkit Utility Vorstellung und Beschreibung: http://www.security-dome.eu/Microworld_AV_Beschreibung_1.html

Test und Erfahrungen mit G-Data`s AntiVirenKit 2007: http://www.security-dome.eu/G-Data_AVK2007_Test.html

Symantec`s Norton Internet Security 2007: http://www.security-dome.eu/NIS2007_Neu.html

Externe Links:

Eicar Testfile: http://www.eicar.org/anti_virus_test_file.htm#

Ikarus Testvirus: http://www.ikarus-software.at/

Alle weiteren externen Links finden Sie diesmal innerhalb der Tabelle --> Spalte „Link“.

Weitere Informationen bzw. zur Diskussion dieses Beitrags besuchen Sie unser Forum unter -->

http://www.security-dome.eu/forum/pA/index.php

Autor: Frank Richter

Copyright: Frank Richter – securITy-dome.eu

Erstellungsdatum: 06.12.07

Letzte Aktualisierung: 21.01.08

<-- Zurück zu den News