Rising Antivirus 2008 – Vorstellung Teil 1

Unser Kollege „Andi“ aus dem securITy-dome.eu Forum hat sich einen relativ neuen Virenscanner angeschaut und sehr umfangreiche Berichte geschrieben. Das Produkt „Rising Antivirus“ wird im folgenden Artikel kurz „RAV“ genannt. In diesem ersten Teil werden die verschiedenen Funktionen und erste Schritte erklärt. Vielen Dank an „Andi“ für diesen Bericht!

Themen dieses Berichts (was Sie erwartet):



Einleitung:

In den letzten Tagen habe ich mich entschlossen mit dem Test des Rising Antivirus 2008 zu beginnen.

Als Testsystem steht mir ein fast blankes Windows XP Professionell mit Service Pack 3 und allen anderen wichtigen Updates und Patches vom Stand des 13.8.08 zur Verfügung.
Die Windows-XP Firewall ist aktiviert.

Einzig zum Zwecke der einfacheren Verarbeitung von Screenshots ist Faststone Capture installiert.

In diesem Test möchte ich mich lediglich auf die Freewareversion des RAV (Rising Antivirus) konzentrieren.



Installation:

Das Programm überraschte mich zu Beginn der Installation gleich mal positiv, als in der Sprachauswahl auch deutsch zur Verfügung stand.

Nun kann man zwischen 2 Modi der Installation entscheiden:

Ich entscheide mich für die komplette Installation.

Danach werde ich aufgefordert einen Speicherplatz für das Programm zu bestimmen.
Auf meinem Testsystem habe ich nur eine Festplatte, also ist der Installationspfad entsprechend auf C:\

Weiter fällt positiv auf, das RAV vor der Installation den Arbeitsspeicher auf Schädlinge überprüfen will, um so sicher zu stellen das der Virenscanner auf ein sauberes System installiert wird.




Was im Bild nicht lesbar ist, füge ich hier ein:
Zielverzeichnis für Rising Antivirus --> C:\Programme\Rising\Rav

Programmgruppe für Rising Antivirus:

Folgende Programmgruppe kann bei der Installation gebildet werden:

Zu installierende Komponenten:

Folgende Komponenten stehen bei der Installation zur Auswahl:

Proaktiver Schild:

Rising Integrierter Scan:

Rising Tools:

Rising Ressourcen:

Skins:

Wie man sehen kann, wartet RAV mit einigen interessanten Dingen auf.

Nachdem RAV den Arbeitsspeicher überprüft hat, sollte das System neu gestartet werden.

Während des Neustarts werden alle Treiber und Dienste auf Schädlinge überprüft. Dies kann eingestellt werden, dazu später mehr.
Auf diese Art sollte Malware gefunden werden können, wenn diese sich noch nicht verstecken konnte, weil sie noch inaktiv ist.



Programm-Übersicht:

Nachdem das System gestartet ist, öffnet RAV den Einstellungsassistenten.
Hier habe ich mit Absicht alle Einstellungen auf "Auslieferungszustand" belassen.
Im Grunde sollten die 3 Bilder selbsterklärend sein.




Einstellungsassistent:


Beim Updateverhalten kann man nur dann eine Uhrzeit einstellen, wenn man etwas anderes wählt als "automatisch", zB "einmal, täglich, wöchentlich".

Hauptfenster:

Danach erscheint das Hauptfenster und alle auf dem Desktop abgelegten Piktogramme (Verknüpfungen).
Das diese vorher nicht sichtbar waren mag aus meiner Sicht auch ein sicherheitstechnisches Feature sein, denn was nicht da ist kann man nicht anklicken und somit auch nicht absichtlich Schädlinge herein bitten.

Das Haupfenster zeigt die derzeit installierte Version des RAV an, das Datum des letzten Updates, das Datum der enthaltenen Signaturen, sowie das Datum der letzten Gesamtprüfung.


(Die hier zu sehenden Reiter werden nach der Reihe erklärt)

Da ich das Programm bereits ein wenig erforscht habe wirkt der Reiter "Schnelltest" auf mich auch nicht schlecht.

Es wird eine Überprüfung der Einstellungen vorgenommen, dabei werden auch die Daten der Updates berücksichtigt.
Folgerichtig zeigt das Programm auch an, das man ein Update machen, sowie die Festplatten scannen sollte.

Auch fehlt noch diverse Einstellungen vorzunehmen.
Gegen Ende des Berichts dazu noch eine Äusserung.

So folgt dann als logische Schlussfolgerung zuerst einmal ein Update.
Das Update dauert recht lange, ca. 15 Minuten.
Erfolgt dann aber nach einem weiteren Tag ein Update, so ist dies recht schnell geladen und installiert.

Nachdem die Daten heruntergeladen und installiert sind, wird RAV deaktiviert und es wird dem Benutzer empfohlen einen Neustart des PC´s durch zu führen (Dies wohl nur weil es neben den Signaturupdates auch Programmupdates zu installieren gab).

Gesagt, getan.
Nun können wir uns die Reiter im Hauptfenster mal genauer ansehen.



Programm-Funktionen:

Im Folgenden finden Sie eine Übersicht über die gebotenen Funktionen von Rising Antivirus 2008.



Scan:

Unter "Scan" werden wie in einem Explorer die verfügbaren Laufwerke angezeigt, welche man nach schadhafter Software untersuchen kann.




Beim Klick auf "Start" wird der Virenscan unter den getätigten Einstellungen vorgenommen.
Arbeitsspeicher, Bootsektor, sowie Festplatte C sind bereits ausgewählt. Der Scan dauert hier rund 20 Minuten bei einer Festplattengröße von 15 GB und der Installation der Eingangs genannten Programme.

Nach einem Klick auf "Setup" gelangt man im Scanmenü in die Einstellmöglichkeiten und kann dort einstellen wie RAV bei einem Virusfund zu verfahren hat.

Dazu gibt es 3 Möglichkeiten, die nacheinander abgefragt werden:

Bei allen 3 Vorgaben stehen einem die Möglichkeiten zur Auswahl:

Zu scannende Dateitypen sind alle angewählt.

Ein Schieberegler gibt zudem vor, wie intensiv die Suche nach Schädlingen sein soll und in der Standardkonfiguration ist diese Suche auf ein ausgewogenes Mittelmaß eingestellt.

Im Benutzerdefinierten Scan kann man auch noch auswählen welche Dateitypen einer Suche unterzogen werden sollen.
Auch hier ist alles, bis auf Mailbox-Dateien ausgewählt.

Insgesamt hat man in diesem Fenster weitere Möglichkeiten.
Hier können automatische und manuelle Scans eingestellt werden, ein Taskplaner lässt sich nahezu haarklein einstellen indem man dort die Häufigkeit der Scans, die zu scannenden Dateien und Bereiche festlegen und das Verfahren bei Schädlingsfund einstellen kann. Ein geplanter Scan dauerte bei mir kaum 7 Minuten lang.

Ebenso lässt sich der Startup-Scan einstellen, welcher beim Hochfahren von Windows die eingestellten Tasks abarbeitet.
Es können "Alle Festplatten“, "Startdiskette“, "Windowssystemverzeichnis“ und "Alle Dienste und Treiber“ beim Startup gescannt werden.
Voreingestellt ist nur der Scan nach "Alle Dienste und Treiber“.

Die Häufigkeit des Updates kann sich ebenso unter Scan einstellen lassen.

Auch der integrierte Scan für Office und IE lassen sich hier konfigurieren. In beiden Fällen werden alle Dateitypen untersucht.
Seltsam hingegen finde ich, das der integrierte Scan für Outlook nicht den Scan nach Mailbox-Dateien vorsieht.
Unbekannte Dos,- Windows und Bootsektorviren, sowie mögliche Schadscripte werden ebenfalls nicht untersucht, alle Einstellungen lassen sich jedoch verändern.



Auto-Protect:

"Auto-Protect" untergliedert sich wiederum in 3 weitere Kategorien, die selber auch noch erweiterbar zu editieren sind:




Dateimonitor:

Der "Dateimonitor" gibt vor, in welchen Dateitypen nach welchen Arten von Schädlingen gesucht werden soll.
Interessant und im Grunde auch logisch (aus meiner Sicht) ist, das selbst unter der höchsten Einstellung nicht nach gepackten Schädlingen gesucht wird.
Werden die Schädlinge entpackt, oder befinden sich in selbstextrahierenden Archiven, so werden sie gefunden, zumindest im Idealfall.
Allerdings lässt sich der Punkt "gepackte Dateien" nachträglich auswählen.

Weiter sind im Dateimonitor folgende Virustypen von der Untersuchung ausgeschlossen:

Dies mag der Unterschied zwischen der Freewareversion und der Bezahlversion sein.
Jedoch lassen sich die fehlenden Häkchen bei oben genannten möglichen Viren nachträglich setzen. Im Grunde halte ich es für fahrlässig, nicht nach solcher noch unbekannter Schadsoftware zu suchen.

Email-Scan:

Im Bild 3 von 4 (unten links) ist der Email-Scan abgebildet.
Die Feinstellung ist identisch mit dem Dateimonitor.

Auch hier sind die oben genannten Viren nicht angehakt, ebenso wird im benutzerdefinierten Scan nicht die Mailbox-Dateien untersucht. Es muss wohl daran liegen, das einkommende/ausgehende Mails automatisch untersucht werden und ein weiterer Scan daher überflüssig erscheint.
Aber auch hier lassen sich leere Felder mit einem Haken versehen.

Im kleinen Fenster "Ports festlegen" sind die Ports 25 und 110 bereits vergeben.
Weitere Ports können leider nicht vergeben werden, auch wenn dort noch so schön der Button "hinzufügen" steht.
Möglicherweise eine Eingrenzung der Freewareversion.

Scriptschutz:

Das 4. Symbol "Scriptschutz" ist das nächste Ziel.
Die Einstellungen des Benutzers sind darin recht simpel gestrickt.

Es sind die Möglichkeiten vergeben:

Ein Hinweisfenster dazu bleibt laut Voreinstellung 15 Sekunden sichtbar, ausserdem wird ein Log erstellt.



Proaktiver Schild:




Das Proaktive Schild unterteilt sich in folgende Komponenten:

(Hervorgehobene Funktionen werden nach der Reihe erklärt).

Wie im obigen Bild zu sehen ist sind standardmässig alle Funktionen eingeschaltet.
Desweiteren können alle Funktionen editiert werden.

Dazu klickt man logischerweise auf den "Setup"-Button und steht dann erstmal vor einer Sicherheitsabfrage, in welcher man ein 4-stelliges, grafisch dargestelltes Passwort in die Eingabezeile wiederholen muss (Captcha). Dieses 4-stellige Passwort muss bei jedem 1. Besuch in diesem Konfigurationsmenü eingegeben werden. Hat man das Passwort einmal eingegeben, so kann man innerhalb dieses Menüs wechseln so oft man will. Geht man dabei einmal raus und will wieder rein erfolgt eine erneute Passwortabfrage.

Danach steht einem die Benutzeroberfläche mit ihren Einstellmöglichkeiten zur Verfügung.

Systemabsicherung:




Als erstes fällt hierbei ein Schieberegler auf, mit welchem man die Stärke der Überwachung einstellen kann.
In dieser Standardkonfiguration steht er auf der Mitte von 3 möglichen Einstellungen.

Selbst die niederste Stufe bedeutet noch Schutz und ist nicht etwa die Einstellung für gar keinen Schutz mehr. Diese Einstellung gilt wohl eher für PC´s mit schwachen Ressourcen.

In der höchsten Einstellung soll man die Belastung des Systems spürbar bemerken, da alle Dateien sehr gründlich überprüft werden.

Wie im Bild erkennbar ist, ist dort ein Button "Benutzer", unter welchen weitere Feineinstellungen vorgenommen werden können.
Dazu gehört:

Systemereignismonitor:

Registryschutz:

(siehe dazu untere Hälfte des obigen Bildes).

Wie zu sehen ist geht es hier nun richtig ans Eingemachte.
Die Funktionen und Möglichkeiten scheinen schier unendlich.
Viele weitere Funktionen sind im Bild nicht sichtbar.
Kurze Zusammenfassung:

Und noch sehr viele Möglichkeiten mehr, u.a. können auch BHO (Browser Helper Objects) damit überwacht werden.
(Alle Felder haben bereits ein Regelwerk, auch die Felder die nicht angehakt sind, die Regeln können editiert werden).

Schutz kritischer Prozesse:

Schutz von Systemdateien:

Und viele weitere unterliegen auch hier bereits voreingestellten Regelwerken (keine angewählt):

Anwendungskontrolle:

Hier können Anwendungen die der Überprüfung bedürfen hinzugefügt werden. Bislang ist die Kontrolleinheit leer.

Klickt man auf "hinzufügen", so bekommt man eine Liste aller derzeit aktiven Prozesse angezeigt, die man durch setzen eines Häkchens zur Kontrolle hinzufügen kann.




Mittels Klick auf "erlauben" öffnet sich ein winziges Fensterchen, in welchem man die Verhaltensweise des RAV einstellen kann.

Zur Verfügung stehen hierbei:

Man sollte hier schon genau wissen was man macht, denn entweder versperrt man sich den Zugang zu gewissen Programmen, oder ermöglicht unbekannter Schadsoftware das unbemerkte Verändern eines Programms.

Anwendungs-Safe:

Auch hier findet man ein leeres Fenster vor, welches man mittels betätigen des Buttons "hinzufügen" füllen kann.
Wie auch unter oben genannter Anwendungskontrolle können auch hier für die hinzugefügten Programme Regeln entsprechend "erlauben“, "verbieten“ und "Hinweis“ erstellt werden.
Ebenso wie oben sollte man auch hier bei der Vergabe von Regeln genau wissen was man macht.

Programmstartkontrolle:

Die Bilder ähneln sich wie ein Ei dem anderen.
Ein Button "hinzufügen" ist wie immer vorhanden und zeigt nach betätigen wie in einem Explorer alle gestarteten Programme.




Klickt man eines dieser Programme an und wählt dieses aus, ist ein erster Unterschied zu vorherigen Auswahlmechnismen zu erkennen.

Es öffnet sich ein weiteres Fenster in welchem das eben ausgewählte Programm (svchost) namentlich benannt wird und man mit einem weiteren Klick auf das nächste "hinzufügen" eine neue Regel für dieses Programm erstellen kann.

Hier kann dann im nächsten aufpoppenden Fenster ein Regelname, Programmname und die gewünschte Aktion eingestellt werden, mit welcher das ausgewählte Programm behandelt werden soll.

Verhaltenskontrolle:

Hier gibt es weit weniger Einstellmöglichkeiten.
Ein Schieberegler steht auf mittlerer von 3 möglichen Stufen und die Buchstabenkürzel dazu sind auch in deutsch gehalten:

Die Einstellung ist so gewählt, das RAV bei Maleware-ähnlichem Verhalten eine Rückfrage an den Benutzer gibt.
Einzige weitere Möglichkeit wäre, das RAV nur eine Meldung ausgibt, ohne das der Benutzer dort eingreifen kann.

Es hat in diesem Fenster noch 2 Felder, die bereits angehakt sind:

Versteckte Prozesse finden:

Das letzte Fenster unter den Möglichkeiten des proaktiven Schilds ist auch am einfachsten gestrickt.

Es wird in einem Schaufenster innerhalb des Fensters das Ergebnis der letzten Prüfung mit Datum und Uhrzeit angezeigt.

Ein Button "jetzt prüfen" springt sofort ins Auge.
Um beim Sehorgan zu bleiben: die Prüfung dauert nur einen Wimpernschlag lang.

Standardmässig ist eingestellt, das RAV automatisch alle 60 Minuten nach versteckten Prozessen sucht.

Es sind wieder 2 Felder zum anhaken möglich (Log erstellen, versteckte Prozesse melden), von denen aber nur "Log erstellen" angehakt ist.
Grade bei versteckten Prozessen halte ich diese Einstellung für fahrlässig und es sollte eher der 2. Haken auch gesetzt werden.

Tools:

Tools ist der vorletzte Reiter im Hauptfenster des RAV und zeigt in einer Übersicht die Möglichkeiten an:




Wie im Bild oben zu sehen ist, befindet sich hinter jeder Möglichkeit unter Tools ein "ausführen".
Mit einem Klick auf jenes "ausführen" gelangt man zu den Einstellmöglichkeiten.

Anwendungs-Safe 2.0:

Bei der Installation des RAV wird eine Verknüpfung des Anwendungssafe 2.0 auf dem Desktop abgelegt.

Nach einem Klick auf "ausführen" öffnet sich ein weiteres Fenster mit den im Anwendungssafe intergrierten Programmen.
Darin befinden sich bereits einige Verknüpfungen.




Wie im Bild zu erkennen ist befinden sich oben wieder einige Reiter hinter welchen eine Zahl in Klammern steht.
Ich bin bei der Überschicht geblieben und lasse mir alles (also Anzahl 63) anzeigen.

Im Bild kaum sichtbar ausgewählt ist "Inland Revenue Authority of Singapoore".
In diesem Bereich ist RAV stark merklich auf chinesische, amerikansiche und teils islamische Banken und andere Internetseiten ausgelegt.

In den Bereichen Onlinegames und Messenger ist der Inhalt leer, obwohl dort jeweils eine 20 und eine 4 als Anzahl steht.
Der Inhalt wird jedoch sichtbar, wenn man ganz unten einen Haken bei "alle unterstützten Programme anzeigen" setzt.

Das Hinzufügen eines Internetlinks zur Deutschen Bank (nur als Beispiel) gestaltet sich hierbei leider sehr schwierig, bzw unmöglich.
Ich habe die Seite aufgerufen, eine Verknüpfung auf dem Desktop abgelegt und war naiv genug zu glauben, das ich nun mittels Copy+Paste, bzw drag+drop die Verknüpfung in den Anwendungssafe ablegen kann. Weit gefehlt.
Alle Versuche schlugen fehl, mit keiner Weise liess sich die Verknüpfung dazu bewegen sich in den Anwendungssafe kopieren zu lassen.
Der umständliche Weg scheint über den proaktiven Schutz zu laufen, in welchem man, nach Auswahl der Ansicht "All Files" (statt nur .exe-Dateien) die Internetverknüpfung unter einen Schutz legen kann.

Ob dies auch den gleichen Schutz bedeutet wie die im Anwendungssafe abgelegten, vorinstallierten Verknüpfungen kann ich nicht sagen, da die Verknüpfung zur Deutschen Bank nicht im Anwendungssafe auftaucht.

Vielleicht stosse ich hier auch bloss an die Grenzen der Freeversion, das wird sich spätestens mit dem Test der Vollversion zeigen.

Integrierter Scan für Drittprogramme:




Die hier im Bild angezeigten Programme sind nur deshalb sichtbar, weil ich wieder unten einen Haken gesetzt habe der alle unterstützten Programme sichtbar macht.
Hinzufügen weiterer Programme ist nicht vorgesehen.

Backup des Rising Installationsprogramms:




Dazu klickt man auf "ausführen" im Übersichtsfenster und erhält dann obiges Bild. Jetzt einfach nur noch einen Speicherort wählen und auf "Weiter" klicken.
Ich habe diesen Vorgang vollzogen und mich danach am gewählten Speicherort umgesehen.

Dort liegt dann eine Setup.exe bereit, die mich nach einem Klick darauf zu einem Menü führt, unter welchem ich folgende Möglichkeiten habe:

Quarantänestation:

Nachdem man auch hier auf "ausführen" klickt kommt man in die Quarantänestation, in welcher bereits die von mir kürzlich getesteten Eicar-Testviren liegen.

Hier kann man entweder über Reiter, Symbole, oder mittels Rechtsklick Aktionen an der in Quarantäne liegenden Dateien vornehmen, welche allesamt üblich für Virenscanner mit Quarantänefunktion sind.



Schnelltest:

Die Funktionen des Schnelltest sind in Kürze bereits zu Anfang dieses Berichts beschrieben und geben im Grunde nur eine Übersicht über die aktuelle Lage der Gesamteinstellungen des Programms.

Eingangs bezeichnete ich diesen Reiter noch sinngemäss als sinnvoll.
Aber trotz das ich alle Festplatten durchsucht habe, das Update auf dem aktuellsten Stand ist wird mir nur eine geringe Sicherheit bescheinigt.
Die Empfehlungen unter "Details" einen Scan und ein Update zu machen führen zu keinem anderen Ergebnis.

Es kommt noch "besser".
Bei einem wiederholten Test an einem anderen Tag wurde mir VOR dem Update neuster Signaturen eine mittlere Sicherheit angezeigt.
NACH dem Update war es nur noch geringe Sicherheit.

Hier sollte wohl noch nachgebessert werden, denn was nutzt es dem Verbraucher wenn er lediglich eine bunte Anzeige sieht, das Gezeigte aber nicht mit der Realität übereinstimmt?



Weitere Funktionen:

Nachdem nun nahezu alle Funktionen des RAV beschrieben sind, welche man über die grafische Oberfläche erreichen kann, möchte ich mich nun den Möglichkeiten zuwenden welche man über die Reiter am obersten Rand im Fenster erreicht:

Aktionen:

Ein Klick darauf offenbart die darunterliegenden Möglichkeiten:

Die beiden obersten Punkte bedürfen nun wirklich keiner weiteren Beschreibung mehr.

Log-History:

Umschreibe ich die Log-History mit nur einem Wort, dann müsste ich "Wahnsinn" sagen.
Derart detailreich ist mir noch keine Log-History unter die Augen geraten, wobei manches mal weniger auch mehr ist.




Das sich öffende Fenster scheint mir auch das einzige zu sein, welches auf Bildschirmgröße aufzuziehen geht und das ist auch absolut notwendig.
Leider lassen sich die beiden Rahmen im Fenster in ihrer Größe nicht verändern.

Das Log ist nicht nur detailreich, sondern in manchen Punkten einfach überladen, wirkt aber auf mich trotzdem noch übersichtlich.

Im Scan-Log unter dem Punkt "Festgestellt am" öffnet sich nach dem Klick auf das „+“ ein Untermenü in welchem das Datum der Virenfunde angezeigt wird.
Klickt man dann auf das Datum wird rechts im Bild sehr detailreich der Name und alles weitere über den Fundort und die getätigte Aktion zum Schädling beschrieben.

Diese Beschreibung wiederholt sich gleich mehrfach unter den Bereichen "Aktionsergebnis" und "Virusname" im Scanlog.

Im Auto-Protect-Log geht es ebenfalls weiter unter "Alle Auto-Protect-Vorgänge", "Festgestellt am", "Aktionsergebnis" und "Virusname".
Das macht auf mich einen etwas überladenen Eindruck.
Ansonsten kann ich über dieses Log nicht meckern.

Betrachten:

Unter diesem Punkt wird die grafische Oberfläche einfach nur in Schriftform wiederholt (Home, Scan, Auto-Protect .....) und kann hier auch über die Tastatur angesteuert werden.

Einstellung:

Erweiterte Einstellung: unter diesem Punkt sind die erweiterten Einstellfenster zu "erweiterte Einstellungen", "Auto-Protect" und "Proaktiver Schild" erreichbar.

Hilfe:

Die Hilfedatei steht in der Freeversion nicht zur Verfügung.
Es wird dabei im großen Fenster lediglich die Bestellabwicklung zur Vollversion erklärt.



Kontextmenü:

RAV klinkt sich auch in das Kontextmenü ein.
Befindet man sich z.B. auf dem Desktop und klickt eine Datei mit rechter Maustaste an, so öffnet sich das Kontextmenü.

RAV biete dort 2 Möglichkeiten an:

Die Methode und Stärke des Dateishredders ist unklar. Zwar heisst es die so gelöschten Dateien seien auch mit Hilfe anderer Programme nicht wiederherstellbar, aber einen Hinweis wie oft eine solche Datei gelöscht wird bleibt offen.



Interne Links:

Rising Antivirus 2008 Vorstellung – Teil 1: dieser Bericht

Rising Antivirus 2008 Erfahrungen – Teil 2: folgt in Kürze



Externe Links:

Download: http://www.rising-eu.com/index.php?menu=downloads

Preise: http://www.rising-eu.com/index.php?menu=store

Handbuch zur Version 2007: http://www.rising-download.de/RAV_2007_Handbuch_Version_2.02.pdf



Weitere Informationen bzw. zur Diskussion dieses Beitrags besuchen Sie unser Forum unter -->

http://www.security-dome.eu/forum/pA/index.php




Autor: Frank Richter

Co-Autor: Andi

Copyright: Frank Richter – securITy-dome.eu

Erstellungsdatum: 22.09.08

Letzte Aktualisierung: 22.09.08



<-- Zurück zu den News