Nouveau test du 12.04.2004 sur la 4.1 Pro
The Cleaner est un anti-trojan doté de 2 types de scan:
- scan classique de tous les fichiers, y compris les fichiers de type "archive" (fichiers compressés). Assez peu de types d'archives sont reconnus (le type UPX semble avoir été introduit mais n'est pas cité dans la liste des types reconnus - la compression UPX est la plus utilisée, quasiment l'unique utilisée par les parasites grâce à son excellent taux de compression et à sa très grande vitesse de décompression).
- scan rapide (appelé "smart scan") ne scannant que les emplacements où s'accrochent les parasites installés (méthode popularisée par Spybot Search & Destroy).
Les options sont peu nombreuses ce qui simplifie l'usage pour un utilisateur peu aguerri à la face cachée (et sombre) du Net. Ce manque d'options est un peu frustrant pour un utilisateur avancé. Il est par exemple impossible de créer une cible personnalisée à scanner - c'est "le système" seulement (généralement une partie du disque c:), ou un ou plusieurs disques entiers, ou un unique répertoire ou un unique fichier. Il n'y a pas de notion de "poste de travail" qui permettrait de scanner intégralement un ordinateur. Les exclusions sont encore plus frustrantes : on ne peut exclure que des fichiers, un par un (ou un disque entier en ne le sélectionnant pas). Il est impossible d'exclure un répertoire et ses sous répertoires.
La base de données ne vous encombrera pas d'informations.
- Date de création de la fiche
- Nom du parasite (sans les alias - synonymes - autres noms) des autres acteurs du métier.
- Type (RAT, Keylogger, backdoor, worm etc. ...)
- Strictement aucune autre information (auteur, action, méthode de déploiement, clés et fichiers, éradication manuelle etc. ...)
Deux tâches complémentaires sont actives dès le lancement de l'ordinateur:
TCMonitor. Permet de surveiller toute modification apportée aux contenus d'une liste de clés de registre que l'on souhaite surveiller. Cette liste est éditable et, par défaut, elle représente toutes les clés utilisées pour lancer quelque chose au démarrage de Windows. Il est donc possible d'ajouter des clés à surveiller. Une alerte visuelle (et sonore harassante si on ne l'arrête pas) signale chaque modification et permet d'accepter, de refuser ou d'éditer la modification. On peut comparer TCMonitor à RegistryProt ou StartUpMonitor mais en plus puissant.
- TCActive. Surveille tous les processus actifs. C'est le module temps réel de l'anti-trojan. Chaque tâche active ou qui se lance est confrontée à une base de signature et est tuée si elle est malicieuse.
Nota 1
Le scanner est assez lent. Même si celui-ci s'exécute concurremment à d'autres tâches et permet de continuer à travailler durant son analyse, il est préférable de le lancer de nuit. Il aura duré 4h36 sur ma configuration lors du test (130GO analysés en 381.394 fichiers) là où les autres mettent environ 1h45 sur le même spectre.
Nota 2
Test Phase 1 - scan "on demand"
- L'antivirus Norton / Symantec - Norton System Works 2003 - définition des virus de 07.04.2004, était en service
- The Cleaner 4.1 Pro utilisait sa base de signatures v3541 du 10 avril 2004 - 14.899 "trojans" étant identifiés.
- Les fichiers testés sont ceux de mon système courant sur lequel se trouve la capture de 2 sites collectionneurs de trojans, worms etc. ... L'intégralité des répertoires et fichiers de ces 2 sites sont en lecture seule (protection contre tout effacement ou modification).
- The Cleaner ouvre les fichiers à tester dans un répertoire temporaire afin de les lire, éventuellement de les décompresser.
- Résultat des courses:
- The Cleaner, anti-trojans spécialisé, produisit 30 alertes pour 15 parasites différents sur une activité de scan dite "on demand" (scan passif de fichiers - activité la plus facile des anti-trojan comme des antivirus)
- Simultanément, Norton Antivirus réagissait en temps réel à l'ouverture des fichiers temporaires (réaction appelée "on access") et produisait 3418 alertes pour 820 parasites différents. On peut donc en déduire que The Cleaner à vu 15 parasites que Norton AV n'a pas vu.
- Le scan à duré 4h36
Test Phase 2 - scan "on demand"
Afin de vérifier dans quelle mesure l'antivirus a empêché The Cleaner de détecter des parasites et afin d'éliminer l'impact de l'activité de l'antivirus sur le temps d'analyse, le test est relancé sur le même spectre, l'antivirus Norton / Symantec - Norton System Works 2003 - étant désactivé.
Au final, The Cleaner aura produit 105 alertes pour 58 parasites différents dans une opération de scan "on demand" là ou un antivirus aura produit 3418 alertes pour 820 parasites différents alors qu'il réagissait "on access" ce qui est beaucoup plus interessant.
Sans commentaire.
Pour mémoire, les 3 résultats ont été exportés en format .txt dans 3 fichiers appelés
Alertes virus rapport norton apres test the cleaner.txt
Alertes virus rapport the cleaner apres test the cleaner.txt
Alertes virus rapport the cleaner apres test the cleaner sans NAV.txt
Test Phase 3
J'ai voulu vérifier si The Cleaner regardait les fichiers qui sont copiés, par exemple lorsqu'ils sont téléchargés, au moment de leur copie, sans qu'il y ait demande d'ouverture du fichier (ce n'est pas tout-à-fait un test "on access"). Pour cela j'ai tout simplement fait une copie intégrale de ma collection de parasites d'un disque sur un autre. On peut dire que tout le monde s'en fiche. The Cleaner n'a absolument rien vu et Norton n'a produit que 11 alertes (assez curieusement, ces 11 alertes portent sur des choses très différentes comme un .exe, des .htm et même un .txt).
Nota 3
Il est fait grand bruit autour de The Cleaner qui possède ses aficionados qui ne jurent que par lui. Quelque chose me heurte : la publicité comparative mensongère. Le graphique comparatif, sur leur site, est un foutage de gueule complet :
- Pas de protocole de test
- Pas de date de test
- Aucun nom de trojan
- La seule description porte sur la configuration matérielle de l'ordinateur du test (qu'est-ce qu'on en a à foutre !!! et je reste courtois)
- The Cleaner aurait détecté 10.000 trojans dans ce test du 4 août 2002 !!! Quid du contenu de cette liste ? Quelle répartition entre RATs, Backdoors, Dropper, Worms, Keyloggers, Adwares, Spywares, Password stealer, Password cracker, Hijackers etc. ...
- Usage d'une appellation trojans "fourre-tout" qui, venant de la part d'un professionnel, la fiche plutôt mal, d'autant que le trojan (cheval de Troie) au sens propre, n'est pas un parasite mais le véhicule utilisé pour introduire un parasite.
- Même avec toutes les variantes confondues, tous les noms des divers fichiers de chaque trojan, les diverses clés de registre de chaque trojan (10 à 20 définitions par trojan) etc. ... ils avouent, sur leur site, avoir 4.865 définitions de trojans (capture d'écran - database V 3310 au 28 juin 2002). Ils auraient donc identifié et introduit dans leur database 5.135 nouveaux trojans en 35 jours !!!
- Ce graphique est toujours là lors de mon test du 12.04.2004 !
Ce test comparatif est une véritable insulte à mon intelligence. La publicité mensongère a le don de me foutre hors de moi et ce n'est pas leur ridicule page d'awards inconnus qui va m'influencer.
Autre détail irritant sur ce graphique comparatif, leurs concurrents ont des résultats strictement inversement proportionnels à leurs pénétrations respectives sur le marché ou à leur réputation en tant qu'anti-trojans. Ainsi RAV, un antivirus relativement peu connu serait le meilleur anti-trojans (loin après eux, bien sûr) et les 2 suivants sont également d'inattendus antivirus. Mais PestPatrol, connu et réputé pour être de très très loin le meilleur détecteur de parasites au monde est classé dernier avec un résultat ridicule.
Nota 4
Je dois admettre une grande honnêteté intellectuelle sur leur forum officiel où des discussions ouvertes et bien admises par l'administrateur et les modérateurs (des gens de Moosoft) parlent des échecs de détections de "The Cleaner" face à des réussites de concurrents, y compris dans le monde des gratuits. Reconnaissance d'une faiblesse, mise en oeuvre du correctif, annonce du correctif dans le même thread, test par les internautes, aller et retour d'informations (feedback) ouvert. C'est un très bon point.
Logiciel commercial - essai gratuit 30 jours
