Antivírus M&M 2007-09-03

Estava eu a passar por uma das minhas fases "low", em que não tenho vontade de fazer absolutamente nada que seja útil e/ou mentalmente são, e tropecei num post que já tinha uns dias (ou mais).

Na altura em que foi colocado nem lhe liguei muito. Um site com links para AV's e Anti-Spywares grátis não é assim muito mais útil que o Google para mim.

Mas como estava "low", dei por mim a visitar o dito site. Obviamente que pouco mais era que a famosa lista de apps. E então surgiu a ideia semi-insana da semana.

Ora, a pergunta é sempre a mesma. "Qual o melhor AV gratuito?". E porque não responder "Todos ao molho."? Ok, beira a estupidez. O bom senso diz que dois ou mais AV's vão empastelar-se mutuamente. A experiência prática comprova o mesmo.

Felizmente eu quando estou "low" não tenho um grande stock de bom senso e tenho uma queda descomunal para me esquecer do que teoricamente já sei como "de facto".

E vai de preparar uma box virtual, cópia da box usada nos testes de AV's. E vai de carregar a dita box com tudo o que era AV grátis com um mínimo de qualidade.

A lista foi:

  • Viruscan 11 (este tem de ser esclarecido à parte...)
  • AVAST
  • Antivir
  • AVG AS (AVG Anti-Spyware, estranhamente parecido com o ex-Ewido, não me dei ao trabalho de investigar...)
  • BitDefender8 (na altura ainda não estava lá o 10, e mesmo que estivesse não sei se não cai no mesmo buraco do 8, a testar...)
  • ClamWin
  • AVG
  • Comodo AV

Ok, clarificações.

O Viruscan 11 não é gratuito per se. Mas a AOL está a oferecê-lo. Passou a ser gratuito. Infelizmente é um enjoo de tripas ter de levar com o raio do animal. Infelizmente é também o melhor do grupo actual de grátis. Situação delicada. Decidi que queria o VS mas também não o queria. Torcendo um "bocadinho" a coisa, removi o animal e fui buscar o último SuperDat, aka ficheiro de actualizações do VS. O SuperDat, tanto quanto me lembro, sempre veio com uma coisa útil, o Scan.exe, a ferramenta de AV de linha de comandos do VS. Para quem não goste de linha de comandos é chato, mas a verdade é que é o melhor dos mundos. Fica sossegado no disco, não consome recursos e quando é chamado ao trabalho tem uma prestação muito razoável, especialmente se pensarmos que é baseado no motor 5.x/6.x que já leva uns bons anos nas patas.

O AVG-AS entra para o rol, mesmo não sendo um AV. O AVG grátis não apanha assim tanto spyware/adware como isso, mas oferecem a ferramenta para o fazer à parte. Grátis é grátis, logo... Curiosamente, e como se vai ver mais à frente, a coisa torna-se caricata no mínimo.


Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\Program Files\Comodo\common\CAVASpy\cavasm.exe
C:\Program Files\Common Files\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Program Files\Common Files\Softwin\BitDefender Scan Server\bdss.exe
C:\Program Files\Comodo\Comodo AntiVirus\CMain.exe
C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\Program Files\Softwin\BitDefender8\bdmcon.exe
C:\Program Files\Softwin\BitDefender8\bdnagent.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\ClamWin\bin\ClamTray.exe
C:\tools\HijackThis\HiJackThis_v2.exe
C:\Program Files\Softwin\BitDefender8\bdnews.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O4 - HKLM\..\Run: [cnfgCav] "C:\Program Files\Comodo\Comodo AntiVirus\CMain.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [BDMCon] "C:\Program Files\Softwin\BitDefender8\bdmcon.exe"
O4 - HKLM\..\Run: [BDNewsAgent] "C:\Program Files\Softwin\BitDefender8\bdnagent.exe"
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [ClamWin] "C:\Program Files\ClamWin\bin\ClamTray.exe" --logon
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'Default user')
O17 - HKLM\System\CCS\Services\Tcpip\..\{51C4518F-38E1-431D-9CC9-93E956195060}: NameServer = 194.65.100.117,194.65.3.20
O20 - Winlogon Notify: monln - C:\WINDOWS\SYSTEM32\monln.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Common Files\Softwin\BitDefender Scan Server\bdss.exe
O23 - Service: Comodo Anti-Virus and Anti-Spyware Service - Comodo Inc. - C:\Program Files\Comodo\common\CAVASpy\cavasm.exe
O23 - Service: BitDefender Communicator (XCOMM) - Softwin - C:\Program Files\Common Files\Softwin\BitDefender Communicator\xcommsvr.exe

Esta é a imagem do TM e o logfile do HJT para a box "carregada". Quem achar que é uma autêntica lixeira tem toda a razão.


Como podem ver, o consumo de recursos disparou para a escala semi-astronómica. Nada bom. Precisaríamos de qualquer coisa como 1/2GB só para o OS e os AV's. E, como em todos os testes, os AV's estão em modo offline, isto é, com a parte de real time scanning desligada. Se ligasse isso em todos a situação passava de má a desastre total.

Como estamos em modo "low" e só fazemos asneirada, aplicamos uma bela dose de HJT para "limpar" o arranque. Os serviços ficam, mas nenhum AV é lançado durante o arranque.



Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\tools\HijackThis\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O17 - HKLM\System\CCS\Services\Tcpip\..\{51C4518F-38E1-431D-9CC9-93E956195060}: NameServer = 194.65.100.117,194.65.3.20
O20 - Winlogon Notify: monln - C:\WINDOWS\SYSTEM32\monln.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: Comodo Anti-Virus and Anti-Spyware Service - Comodo Inc. - C:\Program Files\Comodo\common\CAVASpy\cavasm.exe

Hmm, bastante melhor. Não é 100% bom, mas é muito melhor.

E comecei a testar os AV's. Tudo OK, isto é, todos os AV's lançam sem problemas. Excepto o Bit Defender 8. Mau. Muito Mau. Adiante, já cá volto. Uma passagem pelos "Serviços" do Windows e tudo o que é serviço de actualização de AV ou igualmente inútil passa a "Manual". Reboot. Continua tudo OK. Os AV's só fazem actualizações "à patex" mas do mal o menos, os recursos baixaram outra vez.

Passando ao BD8. Nada que eu fizesse conseguia meter o bicho a funcionar sem as entradas do arranque e todos os serviços activos. Infelizmente o dito animal é um autêntico devorador de recursos. Para poder tomar uma decisão tive de seguir em frente e correr a primeira batch de testes.

De momento, as amostras cifram-se em 327 vírus e 207 spywares/adwares/etc (eu adoptei a designação do KAV e chamo-lhes nav (not a virus, não quer dizer que sejam bons de assoar...)).


Round 1

VIRUS NAV
VS11 37s 97
AVAST 37s 131
Antivir 19s 185
AVG AS 58s 190
BitDefender8 65s 207
ClamWin 151s 221
AVG 54s 252
Comodo 42s 254
VS11 37s 97
69 28
Parciais 37s

Ok, primeiro round e os resultados são o que são. O BD8 mostra a idade e cai no meio da tabela. Isto torna a decisão mais fácil. BD8 está de saída. Se ele se comportasse em termos de arranque e recursos ou tivesse uma prestação melhor, ficava. Tal como é, é difícil justificar a permanência.

Como se pode ver na tabela, os números são o que são. O Scan.exe do VS, mesmo com um motor desactualizado, apresenta o 2ºmelhor tempo com a melhor taxa de detecção. Está encontrado o AV grátis numero um.

E digo número um porque os outros também contam. A ideia aqui não é saber qual o melhor porque, como podem ver pelos resultados, os melhores são mesmo muito maus. 97/533 dá quase 20% de falhanços e isso não é aceitável em lado nenhum que eu conheça. A ideia é ver se em conjunto a coisa poderia funcionar.


Round 2.

VIRUS NAV
Antivir 7s 32
AVAST 15s 59
ClamWin 46s 63
AVG 10s 66
AVG AS 6s 68
Comodo 5s 85
Antivir 19s 131 26 159
VS11 9s 32 16 16
Parciais 28s

Como podem ver pelos resultados, o nosso número dois é o Antivir. E foi aqui que surgiu a minha primeira dúvida e ideia insana. O Antivir era pela segunda vez o AV mais rápido (empiricamente testado, o motor do Antivir é mesmo o mais rápido de todos). O Scan.exe tinha feito 37s, somando os 7s do Antivir estávamos em 44s. Mas e se fosse ao contrário? Como a hipótese apenas podia ser comprovada testando, voltei para trás e refiz o teste. E o resultado é este.

19s+9s=28s. 28s<44s. A conclusão é óbvia. Mesmo não sendo o mais eficiente em detecção, o Antivir é decididamente o mais rápido. E se for usado primeiro poupa muito trabalho ao AV seguinte. Alteração na ordem. Antivir passa para primeiro e Scan.exe para segundo.


Round 3.

VIRUS NAV
AVAST 7s 25
ClamWin 22s 26
AVG AS 2s 27
Comodo 2s 28
AVG 4s 31
Antivir 19s 131 26 159
VS11 9s 32 16 16
AVG AS 2s 27 13 14
Comodo 2s 25 12 13
AVAST 7s 20 10 10
Parciais 39s

Aqui aparece um resultado cómico. O AVG-AS encontra mais 4 amostras que o AVG-AV em metade do tempo. Ouch... Doi. Como os tempos já estavam baixos demais para eu me dar ao trabalho, aglutinei alguns dos AV's num "pacote". Assim, o terceiro AV é o combo AVG-AS/Comodo/AVAST.


Ultimo round.

VIRUS NAV
ClamWin 12s 18
AVG 3s 0
Antivir 19s 131 26 159
VS11 9s 32 16 16
AVG AS 2s 27 13 14
Comodo 2s 25 12 13
AVAST 7s 20 10 10
ClamWin 12s 18 8 10
Parciais 51s

ClamWin com o tempo miserável do costume mas ainda encontra alguma coisa. AVG não encontra nada (ver notas finais).

Contagem final.

51s depois, passámos de 533 amostras para 18, 8 vírus e 10 nav's.

Imagem final do TM, tirada depois do último AV scanar as amostras, para comprovar o consumo de recursos post-load.


Conclusão:

Eu podia ser mauzinho e dizer que as 533 amostras são encontradas por um AV, logo mais vale gastar €40/ano que "deixar passar". No entanto dito AV também deixa passar, passa é pouco, provavelmente menos no geral que estes todos juntos.

Vamos ser brutalmente honestos. Se não podemos gastar o $$$ com AV's, estes são a nossa safa. E creio estar cabalmente provado que nenhum é brilhante. Mas, e é um mas grandinho, em conjunto não são tão maus como isso (a união faz a força...). E, aparentemente, desde que bem "preparados" conseguem manter o nível de recursos consumidos aceitável.

Vamos ser brutalmente honestos número dois. Quantos ficheiros executáveis e aplicações sacam e instalam por dia? Há dias que mais, dias que menos e dias que nenhum, mas não devem ser assim tantos. Não é assim tão mau como isso fazer 5/6 clicks por cada um.


Notas:

Infelizmente, só hoje me lembrei que podia ter juntado mais um grátis, o FPROT para DOS. Mas como não costuma ser brilhante, não devo ter perdido muito. Fica para outro dia.

O AVG não ficou de fora. Ok, desta vez não encontrou mais nada. Não quer dizer que não encontre para a próxima. E como é grátis, não pagam mais por também o usar.

Quem realmente saca/instala dezenas de apps por dia não se tem de preocupar com vírus. O problema de segurança está entre a cadeira e o teclado e não há AV que os safe.

Do mesmo modo, as conclusões assumem que já todos passaram a "fase das fraldas" e largaram as apps "made by MS", isto é, IE, OE/O, MSNM e WMP, e usam algo mais seguro por natureza e cujos problemas de segurança são resolvidos em tempo útil. Ah well, nada mais satisfatório que um cliente que foi avisado para não usar e mudar. Satisfatório porque passa automágicamente de "€50 para resolver o problema todo e talvez até dar um jeitinho em outras coisas free of charge" para "€35/hora que eu perder com esta m***a, já tinha avisado que havia de dar m***a". Força povo, insistam nisso, com o preço a que está o material (e as margens de lucro minúsculas), se não fosse pelos carneiros que se prestam à tosquia não dava para pagar a renda.

Apesar de eu ser contra, por muitas e boas razões, nada impede que um dos AV's esteja em modo online. De preferência o Antivir, visto que é o mais rápido e bastante eficaz. A ser assim, não o teriam de usar nos scans offline.

Como nota final, este teste também serviu para mim. Eu mantenho uma box virtual para offline scanning de ficheiros (ou acham que isto é sacar e andar... só se fosse doido...) e apesar de estar feliz com o ex-KAV, agora AVS, para o ano provavelmente KAV de novo, ganhei uma perspectiva nova da coisa. Se o que já tinha era bom, só fica melhor. A box só boota mesmo para verificar os poucos downloads do dia, se consumir um bocadito de RAM mais não é problema. E na verdade ganhei tempo. O KAV/AVS é um bocado "lento" por causa da paranóia de arquivar tudo o que apaga. No modo actual, Antivir->Scan.exe->AVS, quando chega a vez do AVS já a maioria do lixo não existe e o animal só tem de verificar uma ou outra coisa. Existe um AV comercial, o AVK, que usava o combo KAV/BD10. Olha, eu consegui melhor que isso.

Btw, tenho quase a certeza que dá para correr os AV's em sequência com um batch. E, a dar, basta um click na pasta e esperar. O Antivir dá. O AVAST dá, só não encontro o raio do exe. O Comodo dá. O AVG dá. O AVG-AS não parece dar. O Clamscan dá obviamente.

No entetanto testei o BD10 Free. Continua a comer resursos ao pacote, como podem ver nesta imagem.

Pena, porque até apanhou alguma coisita que os outros todos falharam. Mas a consumir assim é duro recomendar...

Google adds are big.