- [Duke's Virus Labs #7] - [Page 49] -

О том как AVеры дают имена вирусам
(c) by Duke/SMF

   Поговорим о наболевшем... ;) Как же даются имена? В части случаев -
от балды. Иногда - по имени автора, иногда - по текстовым строкам в теле
вируса, иногда дается аворское название. Но это совсем редко. (Мне "повезло"
лишь с вирусами HLLW.RanDir.*, HLLO.DPOG.*, Macro.Word.DVL и Subject по
классификации AVP). И это с учетом того, что мной написано около 200 вирусов,
из которых ~130 детектируется AV.
   Данилов, кстати, придерживается очень хорошей манеры именования вирусов:
в DrWeb мои детища зовутся HLL?.Duke.* и BAT.Duke.* . Правда, бывают и
"проколы" ;) Так, один из BAT'ников зовется BAT.Mf.351 . Почему ?
"Официальная версия" такова : Данилов протестировал полученный вирус AVP,
AVP его сдетектировал под этим именем, и Данилов (не долго думая) дал ему
то же имя.
   А что можно сказать про Касперского ? Да он уже насоздавал сто-о-олько
семейств моих вирусов (к примеру HLLW.RanDir, HLLO.DPOG, BAT.MF), что скоро
сам начнет в них путаться. Для именования новых вирусов Касперский сканирует
их F-Prot'ом (CARO все-таки ;)). Это доказал один курьезный случай. Я назвал
семейство полиморфных вирусов Mountain ("гора" по английски) за их большой
размер в пораженных файлах. Первыми до этих вирусов добрались разработчики
F-Prot'а. Протестировав эти вирусы, они убедились что вирусы содержат ошибки
и при размножении до "горы" дело не дойдет ;-) (это правда - в первых двух
вирусах семейства я навешал багов, но пофиксил в версии C, которая помещена
в этом же номере). Поэтому Mountain они зажали, ограничились именем Hill
("холм" все на том же английском ;). Да еще обозвали их Intended...
Касперский, поглядев на имя "Hill (intended)" обозвал эти вирусы точно также
(поди, даже в нутрь не заглянул). Вот так гора стала холмом...  ;-))))
   Еще меня умиляют ошибки аверов при отнесении вирусов к тому или иному
семейству. Сканируя свою коллекцию разными AV и затем сравнивая логи, я
заметил, что различные AV (AVP, F-Prot, DrWeb) относят некоторые HLL вирусы
к разным семействам. Например, путают HLLC/HLLO, HLLW/HLLO и так далее.
Аналогичный случай произошел и с моими вирусами, когда два HLLW.DPVG вирус
детектируются AVP как HLLO.DPVG, и когда F-Prot называет компаньон HLLC.4480
из DVL #3 HLLO.4480.C ;-)) А вот NOD, чтобы избежать этой ошибки, называет
вирусы HLL.* ...
   Отношение AV к HLLO вирусам также достаточно разностороннее. В DVL #4
я поместил 80 HLLO-вирусов, созданных с помощью моего конструктора DPOG.
F-Prot для 70 из них дал персональное имя типа HLLO.*.* (и не лень было ;-)
А вот DrWeb детектирует все 80 под именем HLLO.Duke.based (позднее AVP
назвал их HLLO.DPOG-based) ! Благодаря такой предусмотрительности, DrWeb
умеет "подозревать" некоторые HLLO-вирусы, созданные с помощью конструктора
DPVG.