Online of offline scannen?

[segil]

Zonet een discussie gehad met onze a/v leverancier van werk (Norman). Ik belde met de vraag of ze ook een live boot medium hadden (Linux based oid) waarmee ik een computer kon booten, laatste a/v def. bestanden binnen halen en scannen maar. Echter, dat hebben ze al enige tijd niet meer en volgens deze medewerker zou een online scan (dus OS actief waarin je een virus vermoedt) meer kans bieden op het vinden van het virus, dan als je het systeem offline scant middels een boot medium. Dat vond ik raar, want al mijn ervaringen en kennis omtrent malware zegt dat een ander (niet geïnfecteerd) boot medium meer kans van detectie geeft.

Mijn redenatie:
De scanner kan offline ongestoord de hele disk scannen zonder last te hebben van stealth, rootkits, etc. Imo wordt op die manier alles gedetecteerd op een disk. (mits de def. files de signatures hebben voor de aanwezige malware). En online kan een actief virus zich makkelijker verstoppen voor een scanner, de scanner uitschakelen, etc. Kortom, meer kans van detectie als je offline scant.

Norman redenatie:
Als een virus actief is dan valt dit eerder op en is de pakkans groter, dan als het virus inactief op een andere disk staat. Dat zou betekenen dat een scanner een grotere kans van detectie heeft in gedragsherkenning, dan adhv signatures.

Wat is jullie ervaring? Scan je liever een verdacht systeem vanaf een ander boot medium met een actuele scanner? Of vertrouw je op de kwaliteit van de aanwezige scanner om het virus te detecteren en verwijderen?

Toelichting: online scannen = OS draait met verdacht virus, offline scannen = booten vanaf ander medium en disk scannen. Online/offline hebben in deze niets te maken met internet toegang

[Verwijderd]

Online of offline scannen?

Dat hangt helemaal af van de detectiemethodes.
Daar verschillen de producten nogal in.

[segil]

Wat zou jij kiezen? Stel je hebt een verdacht systeem? Laat je gewoon de lokale scanner het werkt doen en erop vertrouwen dat 'ie alles vindt en kan verwijderen? Of booten vanaf een ander medium en dan scannen?

De ideale scanner imo is een combinatie van offline scannen en alle exe, dlls, etc, uitvoeren in een sandbox om het gedrag te analyseren. Dan heb je het beste van beide werelden

Ik krijg nogal eens op werk een laptop van een leverancier of buitenlandse medewerker met de vraag om 'm te controleren op malware. Ik zit te bedenken wat de beste manier van detectie is. Ik zie het niet zo zitten om op een geïnfecteerd systeem een a/v scanner te installeren.

[Tens]

Ik heb met beide opties wel goede ervaringen.

Wat ik over het algemeen doe:
In een netwerk: zsm van het netwerk af, en met usb/cd opstarten
Bij een thuissituatie (zeker in telefoon support situatie) veelal eerst de online check.
Nieuwe av installeren op geïnfecteerd systeem (ik kom nog steeds systemen tegen zonder, of met verouderde av-progs) heb ik mindere ervaringen mee

[SHEePYTaGGeRNeP]

Je kan ook ook gewoon allebei proberen?

[Rolfie]

Een nadeel van een online scanner is dat root kits erg moeilijk gedetecteerd kunnen worden. Immers daarvoor is het een root kit.
Bij een offline scan, heb je daar veel minder last van. Immers het virus is dan niet actief, en kan dus ook niet de scan beïnvloeden.

[Slurpgeit]

Ik zou ten alle tijden een apart boot medium verkiezen boven een draaiend OS, om eerlijk te zijn. En dat beveel ik ook al onze klanten aan. Als je weet wat voor technieken malware tegenwoordig heeft om detectie op een draaiend systeem te omzeilen vind ik de claims van Norman ook een beetje raar.

[ Voor 36% gewijzigd door Slurpgeit op 22-09-2011 16:46 ]

[swbr]

Met een draaiend OS kun je ook in memory scannen naar signatures, dat gaat je niet offline niet lukken. Maar ik zou inderdaad ook voor een combinatie van beiden gaan.

[real-doc]

Volgens mij werkt scannen op signature tegenwoordig echt niet meer. Een beetje virus encrypt zichzelf (en decrypt zichzelf middels brute force). De decryptie routine is vervolgens polymorphic, zodat deze constant verandert. Lijkt me erg, erg lastig te detecteren met een signature.

Aan de andere kant, online scannen is ook een ramp natuurlijk, omdat redenen al eerder genoemd.

[Slurpgeit]

real-doc schreef op donderdag 22 september 2011 @ 16:55:
Volgens mij werkt scannen op signature tegenwoordig echt niet meer. Een beetje virus encrypt zichzelf (en decrypt zichzelf middels brute force). De decryptie routine is vervolgens polymorphic, zodat deze constant verandert. Lijkt me erg, erg lastig te detecteren met een signature.

Aan de andere kant, online scannen is ook een ramp natuurlijk, omdat redenen al eerder genoemd.

Daarom gebruiken de meeste scanners al jaren heuristiek. Signatures zijn secundair.

[RocketKoen]

Opstarten in safe-mode of een ander OS vanaf CD/USB, en dan een offline scan doen.
Op een pc in normaal bedrijf weet je nooit of het virus je scanner blokkeert of niet

real-doc schreef op donderdag 22 september 2011 @ 16:55:
Volgens mij werkt scannen op signature tegenwoordig echt niet meer. Een beetje virus encrypt zichzelf (en decrypt zichzelf middels brute force). De decryptie routine is vervolgens polymorphic, zodat deze constant verandert. Lijkt me erg, erg lastig te detecteren met een signature.

Aan de andere kant, online scannen is ook een ramp natuurlijk, omdat redenen al eerder genoemd.

Daarom flagt een virusscanner ook bestanden die encrypted zijn terwijl ze dat niet horen te zijn, zoals .exe en .dll

[Quad]

Een 'online' virus is actief, en wordt dus sneller herkend natuurlijk nav systeemprocessen die er gedraaid worden.
Maar offline is naar mijn idee veiliger, omdat de virus gewoonweg niet actief is, en geen schade aanricht én je kunt hem verwijderen zonder gedoe.

[Verwijderd]

Slurpgeit schreef op donderdag 22 september 2011 @ 17:00:
[...]


Daarom gebruiken de meeste scanners al jaren heuristiek. Signatures zijn secundair.

De signatures van nu zijn niet bepaald de signatures van vroeger.
Verder zou ik stellen dat wat de meeste mensen als heuristics zien, simpelweg andere en/of geavanceerdere signatures zijn. Maargoed, een signature voor zoiets als ZMist is nou ook niet direct simpel.

[Verwijderd]

Ik scan vrijwel alleen vanaf het OS. In een enkel geval vanaf een bootcd. Zo'n 90% van de tijd gewoon in normale mode, en heel af en toe safemode.

Ligt natuurlijk ook aan de symptomen.

[Bor]

Ik vind de genoemde reden van de leverancier meer klinken als een slecht excuus voor het ontbreken van een oplossing als ik eerlijk ben. Norman heeft sowieso niet mijn voorkeur als ik eerlijk ben. Handiger voor je is wellicht actief scannen met Norman (jullie huis merk als ik het goed begrijp) en offline scannen met een andere scanner.

[cornfed99111]

Als je een verdachte pc hebt, moet je terugkeren naar een stabiele, gegarandeerde veilige basis.
Dan is het noodzakelijk om te booten vanaf een veilig medium.

Online scanners zijn bij uitstek geschikt om een extra scan uit te voeren.
Als je eigen scanner niet vertrouwd of hem wilt dubbel checken.

[segil]

real-doc schreef op donderdag 22 september 2011 @ 16:55:
Volgens mij werkt scannen op signature tegenwoordig echt niet meer. Een beetje virus encrypt zichzelf (en decrypt zichzelf middels brute force). De decryptie routine is vervolgens polymorphic, zodat deze constant verandert. Lijkt me erg, erg lastig te detecteren met een signature.

Aan de andere kant, online scannen is ook een ramp natuurlijk, omdat redenen al eerder genoemd.

Als dat zo is, dan moet je inderdaad maar vertrouwen op de heuristic scanning en hopen dat de scanner het actieve virus herkent. De vraag is of 'ie goed genoeg is om de malware ook te verwijderen, zeker als je meerdere componenten hebt (je schiet 1 proces af en vervolgens wordt die weer opnieuw gestart door een ander proces).

In ieder geval snap ik je punt dat offline scannen ook niet alles is.

RocketKoen schreef op donderdag 22 september 2011 @ 17:01:
Opstarten in safe-mode of een ander OS vanaf CD/USB, en dan een offline scan doen.
Op een pc in normaal bedrijf weet je nooit of het virus je scanner blokkeert of niet

Safe mode heb ik zeer weinig vertrouwen in Genoeg andere manieren voor malware om toch gestart te worden. (via HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad dat zich linkt aan explorer.exe om een bekend voorbeeld te noemen).

Viri opsporen en verwijderen en wel gewoon heel leuk om te doen Als je maar genoeg tijd hebt en het niet jouw systeem is dat geïnfecteerd is

[Verwijderd]

segil schreef op donderdag 22 september 2011 @ 23:12:
[...]


Als dat zo is, dan moet je inderdaad maar vertrouwen op de heuristic scanning en hopen dat de scanner het actieve virus herkent. De vraag is of 'ie goed genoeg is om de malware ook te verwijderen, zeker als je meerdere componenten hebt (je schiet 1 proces af en vervolgens wordt die weer opnieuw gestart door een ander proces).

In ieder geval snap ik je punt dat offline scannen ook niet alles is.


[...]

Safe mode heb ik zeer weinig vertrouwen in Genoeg andere manieren voor malware om toch gestart te worden. (via HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad dat zich linkt aan explorer.exe om een bekend voorbeeld te noemen).

Viri opsporen en verwijderen en wel gewoon heel leuk om te doen Als je maar genoeg tijd hebt en het niet jouw systeem is dat geïnfecteerd is

Mee eens, virussen verwijderen is vooral leuk als het iets is wat niet zo makkelijk weg te halen is.

[Baserk]

segil schreef op donderdag 22 september 2011 @ 23:12:
[...]
Als dat zo is, dan moet je inderdaad maar vertrouwen op de heuristic scanning en hopen dat de scanner het actieve virus herkent. De vraag is of 'ie goed genoeg is om de malware ook te verwijderen, zeker als je meerdere componenten hebt (je schiet 1 proces af en vervolgens wordt die weer opnieuw gestart door een ander proces).
...
Viri opsporen en verwijderen en wel gewoon heel leuk om te doen Als je maar genoeg tijd hebt en het niet jouw systeem is dat geïnfecteerd is

Als je echt tijd zat hebt en AV live-cd's wilt gebruiken, kijk dan eens naar de SARDU tool (Shardana Antivirus Rescue Disk Utility).
Tis vrij gemakkelijk om daarmee meerdere AV Live-CD/ISO's op een USB te plempen en zoniet afhankelijk te zijn van 1 AV. Het scannen blijft uiteraard een zaak van lange adem.
SARDU link

[alt-92]

En doe dat nu eens met een FDE-behandelde machine?