VirusTotal vs. Jotti: kompletní srovnání a skutečné alternativy

Informatec Digital » Zdroje » VirusTotal vs. Jotti: kompletní srovnání a skutečné alternativy

Když mluvíme o analýze podezřelých souborů na přítomnost malwaru , vždy se objeví dvě jména: VirusTotal a Jotti. Jsou to zkušené služby, které hojně využívají jak domácí uživatelé, tak bezpečnostní technici a analytici, kteří potřebují rychlý druhý názor na soubor stažený z internetu nebo přijatý e-mailem.

I když se na první pohled mohou zdát téměř identické , realita je taková, že existují značné rozdíly v antivirových enginech, typech skenování, maximální velikosti souboru, úrovni podrobností reportů a dokonce i v přístupu služby (pokročilejší nebo jednodušší). Ekosystém se navíc rozrostl a dnes existuje mnoho alternativ, které stojí za to prozkoumat, abyste se vyhnuli spoléhání se na jednu platformu.

Proč jsou online skenery stále užitečné

V systémech, jako je Windows, není instalace a aktualizace rezidentního antiviru volitelné, ale nutnost. Společnost Microsoft ve skutečnosti do systému integruje program Windows Defender, který nabízí základní ochranu v reálném čase, aniž by z naší strany bylo nutné provádět jakékoli další kroky.

Přesto mnoho uživatelů zůstává vůči programu Windows Defender poněkud opatrných a volí bezpečnostní řešení třetích stran od zavedených značek, které jsou na trhu již léta. Tento primární antivirus obvykle monitoruje počítač na pozadí, ale ne vždy chceme instalovat další program jen proto, abychom zkontrolovali konkrétní soubor.

V každodenním životě je neuvěřitelně pohodlné mít možnost provádět analýzu jednoho nebo více souborů na vyžádání přímo z prohlížeče , bez nutnosti instalace nebo změn konfigurace systému. A právě zde přicházejí na řadu služby jako VirusTotal nebo Jotti, které vám umožňují nahrát soubor a skenovat ho proti více antivirovým enginům současně.

Kromě plánovaných kontrol antiviru je vhodné občas provést důkladnější kontrolu počítače , ale když se obáváme konkrétního souboru (přílohy, staženého spustitelného souboru, podezřelého dokumentu), tyto online skenery nabízejí rychlý a velmi pohodlný druhý názor.

Co je VirusTotal a jak funguje?

V průběhu let se VirusTotal stal předním světovým nástrojem pro analýzu souborů a URL adres z webu. Patří do ekosystému Google a integruje se do nejrůznějších pracovních postupů: od nahrávání jednotlivých souborů uživateli až po automatizaci dotazů ze strany týmů SOC prostřednictvím API.

Největší silnou stránkou VirusTotalu je, že kombinuje více než 70 antivirových enginů a bezpečnostních nástrojů k analýze odeslaných položek. Jinými slovy, nespoléhá se na jedno řešení, ale testuje soubor, URL, doménu nebo IP adresu s využitím široké škály nezávislých technologií, aby se zvýšila pravděpodobnost detekce.

Pro uživatele je proces velmi jednoduchý: stačí nahrát soubor nebo vložit URL, doménu, IP adresu nebo hash , počkat několik sekund a prohlédnout si podrobnou zprávu, která ukazuje, které vyhledávače jej označí jako škodlivý, které jej považují za čistý a jaký typ hrozby byl případně detekován.

Další silnou funkcí je jeho obrovská historická databáze vzorků . VirusTotal ukládá a organizuje analyzované soubory, což vám umožňuje nahlížet do starých vzorků a sledovat, jak se detekce vyvíjely a jaké další informace byly v průběhu času generovány.

Platforma se také pyšní vysoce aktivní komunitou , která komentuje, označuje a obohacuje vzorky o kontext: rodiny malwaru, známé kampaně, související indikátory a další. Tento aspekt spolupráce přidává k reportům obrovskou hodnotu.

Nevýhodou je, že bezplatná verze má omezení velikosti souborů , které lze nahrát, a používání API. Další citlivou otázkou je soukromí: mnoho uživatelů se necítí dobře při nahrávání citlivých souborů s vědomím, že by mohly být sdíleny s komunitou a bezpečnostními společnostmi.

Co je Jotti a jak se liší od VirusTotal?

Jottiho kontrola malwaru je mnohem jednodušší webová služba určená pro ty, kteří chtějí rychle a bez problémů zkontrolovat soubor . Koncept je podobný: nahrajete soubor a ten je analyzován několika antivirovými enginy současně.

Podle informací samotné služby umožňuje Jotti nahrát až 5 souborů najednou , s maximální velikostí 250 MB na soubor v nejnovější konfiguraci (některá starší srovnání uváděla 20 MB, ale současný limit je podstatně větší). Díky tomu je Jotti praktický pro středně velké dokumenty, spustitelné soubory nebo komprimované soubory.

Počet antivirových enginů je výrazně nižší než ve VirusTotal: Jotti spolupracuje s 15 až 20 různými antivirovými programy , což je v praxi stále dobrý „druhý názor“, ale samozřejmě nabízí menší rozmanitost než více než 70 programů VirusTotal.

Jednou z jeho výhod je rozhraní: Jotti vyniká svým čistým a přímočarým zobrazením , ideálním pro netechnické uživatele, kteří chtějí jednoduše vědět, zda soubor „zapáchá podezřele“, či nikoli. Zpráva je kratší a méně náročná než u VirusTotal.

Služba se však zaměřuje výhradně na analýzu jednotlivých souborů . Neumožňuje skenování URL adres, domén ani IP adres, což je součástí denní rutiny VirusTotal pro analytiky a administrátory.

Samotná služba upozorňuje, že ačkoli používá více antivirových enginů, není zaručena 100% ochrana . Všechny odeslané soubory jsou navíc sdíleny se zúčastněnými antivirovými společnostmi za účelem vylepšení jejich signatur a detekčních mechanismů – což je třeba zvážit, pokud pracujete s vysoce citlivým obsahem.

Podobnosti mezi VirusTotal a Jotti

Pro průměrného uživatele sdílejí VirusTotal a Jotti řadu základních charakteristik, které vysvětlují, proč se o nich při diskusi o online skenerech malwaru často hovoří společně.

Zaprvé, obě služby jsou bezplatné a dostupné prostřednictvím webového prohlížeče , což nevyžaduje vytvoření účtu pro základní použití ani instalaci dalšího softwaru. Stačí navštívit webovou stránku, vybrat soubor a počkat na výsledek.

Oba jsou založeny na myšlence současného používání více antivirových enginů pro zvýšení pravděpodobnosti detekce hrozeb. Místo spoléhání se na názor jediného dodavatele nabízejí jakési „hlasování“ mezi několika enginy.

Také souhlasí s tím, že se jedná o nástroje pro analýzu na vyžádání a nenahrazují antivirový software pro stolní počítače. Neposkytují ochranu v reálném čase, neblokují stahování ani nemonitorují procesy; analyzují pouze to, co jim ručně odešlete.

VirusTotal i Jotti nabídli nebo nadále nabízejí desktopové klienty , které usnadňují odesílání souborů bez nutnosti otevírat prohlížeč, což je užitečné pro ty, kteří soubory často analyzují a nechtějí neustále opakovat stejný ruční proces.

Klíčové rozdíly: Kde vítězí VirusTotal a kde je Jotti přesvědčivější?

Ačkoli je koncept podobný, při porovnání VirusTotal a Jotti se objevují důležité rozdíly v enginech, možnostech analýzy a úrovni detailů, díky čemuž je každý z nich vhodnější pro určitý typ uživatele.

První hlavní rozdíl spočívá v počtu a rozmanitosti antivirových enginů . Srovnávací testy ukázaly, že zatímco Jotti používal přibližně 19 enginů, VirusTotal jich v závislosti na období používal 40, 50 nebo více, včetně populárních řešení jako McAfee, Symantec a Trend Micro, které Jotti nezahrnuje.

Další oblastí, kde VirusTotal vyniká, jsou jeho možnosti skenování . Není omezen pouze na soubory: umožňuje také analyzovat URL adresy, domény, IP adresy, hashe a dokonce extrahovat informace o chování – což je velmi užitečné pro kontrolu odkazů před jejich stažením nebo návštěvou potenciálně nebezpečných webových stránek.

Pokud jde o zabezpečení připojení, VirusTotal nabízí nahrávání souborů pomocí SSL pro šifrování přenosu během skenování. Jotti v mnoha svých verzích tuto úroveň viditelných možností nenabízel, což by mohlo znepokojovat uživatele, kteří si velmi hlídají důvěrnost svých nahrávaných souborů.

Na druhou stranu Jotti boduje právě pro svou jednoduchost a přehlednost . Nezahlcuje se desítkami záložek, indikátorů ani pokročilých metrik; zaměřuje se na zobrazení toho, které vyhledávací nástroje označí soubor jako podezřelý, a na nic jiného, ​​což mnozí ocení, pokud chtějí jen rychlou odpověď.

Různé srovnávací analýzy obecně docházejí k závěru, že pokud hledáte maximální pokrytí a všestrannost , VirusTotal je jasným vítězem. Jotti je naopak dobře pozicionován jako doplňková služba, rychlý druhý názor po spuštění VirusTotal nebo použití vašeho místního antiviru.

VirusTotal po integraci do Google Threat Intelligence

V posledních letech se situace profesionálních uživatelů služby VirusTotal změnila, protože se tato služba stále více integruje do Google Threat Intelligence (GTI) , řady produktů společnosti Google pro kybernetickou inteligenci zaměřených na firmy.

Díky této integraci se mnoho funkcí, které byly dříve dostupné na bezplatných nebo středně pokročilých úrovních , přesunulo do dražších placených modelů a různí odborníci se na specializovaných fórech vyjádřili k výraznému zvýšení cen za pokročilý přístup k datům a reportům.

Tato změna přichází v obzvláště kritické době, kdy neustále roste počet zranitelností a hrozeb . Zprávy o hrozbách odhadují nárůst odhalených CVE o více než 15 % ve srovnání s předchozími lety, což vyžaduje více dat, více kontextu a více automatizace.

Pro mnoho týmů kybernetické bezpečnosti, lovců hrozeb a SOC již spoléhání se pouze na nahrávání souborů z komunity a antivirové detekce v rámci VirusTotal nestačí, ani to není vždy nákladově efektivní, pokud chtějí hlouběji pracovat s pokročilými API.

To vše vedlo k hledání praktických a doplňkových alternativ , které by pokrývaly potřeby v oblasti informací o hrozbách, korelace indikátorů a automatizace, aniž by se 100% spoléhaly na ekosystém VirusTotal/GTI.

Výkonné alternativy k VirusTotal (kromě Jotti)

I když je Jotti zajímavou alternativou pro občasné použití, existuje celá řada platforem, které pokrývají specifické aspekty analýzy malwaru, sdílení vzorků, reputace IP adres nebo mapování škodlivé infrastruktury a které stojí za zvážení.

Metadefender Cloud (OPSWAT)

Metadefender Cloud od společnosti OPSWAT je cloudové řešení, které nejen nabízí analýzu z více motorů ve stylu VirusTotal , ale také přidává další vrstvy zaměřené na prevenci, jako je dezinfekce a sanitizace souborů.

Služba umožňuje skenování souborů, URL adres, IP adres a hashů pomocí více než 20–30 antivirových enginů a vyhledávání jak známých hrozeb, tak i podezřelého chování. Cílem je maximalizovat detekci kombinací různých technologií.

Jeho hlavní funkcí je Content Disarm and Reconstruction (CDR) , která vezme soubor, odstraní potenciálně nebezpečné části (makra, skripty, vložený obsah) a vygeneruje použitelnou „čistou“ verzi, a to i v případech, kdy malware ještě nebyl explicitně identifikován.

Metadefender Cloud také nabízí skenování zranitelností v souborech , například detekci zastaralých knihoven nebo komponent se známými exploity, čímž přidává další vrstvu zabezpečení k pouhé antivirové analýze.

Díky svému API a integracím je to dobrá volba pro organizace, které chtějí automatizovat sanitizaci příchozích souborů (e-mail, zákaznické portály, interní přenosy) předtím, než se dostanou ke koncovému uživateli.

Jottiho kontrola malwaru jako jednoduchá alternativa

Kromě přímého srovnání s VirusTotal zůstává Jotti vynikající volbou pro rychlé a bezplatné skenování v domácím prostředí nebo malých firmách, které nevyžadují rozsáhlé nasazení.

Jeho hlavním lákadlem je paralelní použití více antivirových enginů , což zlepšuje míru detekce ve srovnání se slepým spoléháním se na jeden desktopový produkt a dokáže odhalit hrozby, které by jeden engine přehlédl.

Jeho limit velikosti (aktuálně až 250 MB na soubor s možností odeslat 5 najednou ) je praktický pro většinu běžných případů, od instalačních programů až po komprimované soubory nebo poněkud těžké dokumenty.

Rozhraní je velmi minimalistické, s přehledným panelem a bez pokročilých možností , které by mohly být matoucí. Je ideální pro ty, kteří chtějí nahrát soubor, zobrazit seznam vyhledávačů a rychle se rozhodnout, zda danému souboru důvěřují, či nikoli.

Pro analytiky nebo pokročilé uživatele Jotti funguje dobře jako druhý nebo třetí zdroj ověření po VirusTotal, zejména v procesech, kde chcete porovnat výsledky mezi různými online službami.

VirSCAN.org

VirSCAN.org je další klasikou mezi multi-antivirovými skenery na webu . Umožňuje nahrávat soubory a skenovat je pomocí několika enginů od různých výrobců, což poskytuje průřezový pohled na potenciální infekce.

Dlouhou dobu fungoval s limitem 20 MB na soubor , což je poněkud konzervativnější než současné hodnoty Jottiho, ale dostatečné pro většinu spustitelných souborů a kancelářských dokumentů běžně používaných v analytických scénářích.

Jejich přístup je podobný: nahrát soubor, počkat na výsledek a zjistit, které vyhledávače co detekují . Nezaměřují se tolik na ultra-použitelnost, ale spíše na nabídku funkční a bezplatné služby užitečné pro druhý názor.

Analýza Intezeru

Intezer Analyze se k tradičnímu malwaru přibližuje odlišně a zaměřuje se na to, čemu říká „analýza genetického kódu “. Místo spoléhání se pouze na antivirové kontroly rozděluje soubor a porovnává úryvky kódu s rozsáhlými databázemi malwaru a legitimního softwaru.

Tímto způsobem je schopen detekovat opětovné použití kódu mezi různými rodinami malwaru , vidět podobnosti s předchozími vzorky a seskupovat vzorky podle linií, což je pro výzkumníky a zpravodajské týmy mimořádně užitečné.

Zprávy společnosti Intezer poskytují kontext o pravděpodobném původu kódu , které části jsou nové, které jsou převzaty z jiných trojských koní nebo nástrojů a jak vzorek zapadá do známých kampaní, což usnadňuje atribuci.

Navíc se dobře integruje prostřednictvím API pro automatizaci odesílání a korelací , což z něj činí účinnou alternativu pro obchodní a výzkumná prostředí, která chtějí překročit typický rámec „infikováno/neinfikováno“.

AlienVault (úroveň modrá)

AlienVault, nyní pod značkou Level Blue, není jen nástroj pro analýzu malwaru, ale jednotná bezpečnostní platforma , která integruje více funkcí do jednoho produktu.

Jejich návrh se zaměřuje na jednotnou správu bezpečnosti (USM) , která kombinuje SIEM, detekci aktiv, skenování zranitelností a IDS, stejně jako detekci malwaru a korelaci událostí.

Jednou z klíčových silných stránek AlienVault jsou jeho kolaborativní informace o hrozbách , poháněné komunitou a komerčními zdroji, které jsou průběžně aktualizovány s cílem identifikovat podezřelé chování a probíhající kampaně.

Díky svému API a schopnosti integrace s dalšími řešeními je atraktivní alternativou pro organizace, které chtějí vnímat malware jako další součást kompletního bezpečnostního obrazu, nikoli jako něco izolovaného.

MalwareBazar

MalwareBazar, poháněný platformami abuse.ch a Spamhaus, je platforma pro sdílení a stahování vzorků malwaru . Je silně zaměřena na výzkumníky, dodavatele bezpečnostních produktů a týmy, které potřebují nové materiály pro své analýzy.

Jednou z jeho výhod oproti jiným platformám je, že eliminuje mnoho vstupních bariér : neexistují žádné složité registrační požadavky ani příliš přísné limity stahování, což usnadňuje každodenní výzkumnou práci.

Platforma se zaměřuje na skutečné vzorky a vyhýbá se neškodným souborům, adwaru nebo potenciálně nežádoucím programům (PUP) , aby maximalizovala hodnotu sdíleného obsahu. To pomáhá těm, kteří analyzují rodiny malwaru, botnety nebo konkrétní kampaně.

MalwareBazar nabízí API, které umožňuje automatizovat stahování a integraci vzorků do analytických pracovních postupů, sandboxingu nebo obohacování informací, a také integrace se SIEM a dalšími řešeními.

Hunt.io

Hunt.io se více než na samotnou analýzu souborů zaměřuje na vyhledávání hrozeb a shromažďování informací o škodlivé infrastruktuře . Zaměřuje se na domény, IP adresy a hashe a na to, jak spolu souvisí.

Jednou z jeho klíčových funkcí je informační kanál infrastruktury C2 , který díky rozsáhlému skenování internetu proaktivně identifikuje a ověřuje velitelské a řídicí servery dříve, než dojde k jejich masivnímu zneužití.

Platforma průběžně monitoruje exponované služby , certifikáty, HTTP hlavičky a další externě viditelné prvky, aby detekovala vzorce používání ze strany škodlivých aktérů.

Díky funkcím, jako je IOC Hunter, vám umožňuje začít s konkrétním indikátorem (doména, IP adresa, hash) a prozkoumat související infrastrukturu: vystavené adresáře, sdílené certifikáty, podezřelé hlavičky atd.

OPSWAT MetaDefender Cloud jako lovecký nástroj

Kromě svých schopností vícejádrového skeneru je MetaDefender Cloud dobře pozicionován jako nástroj pro vyhledávání hrozeb díky integraci dat od více dodavatelů bezpečnostních řešení, zpětné vazby od uživatelů a korelačních funkcí.

Platforma využívá více než 20 antivirových modulů a dalších analytických vrstev ke snížení počtu falešně negativních výsledků, zlepšení doby odezvy a usnadnění prioritizace výstrah v podnikovém prostředí.

Jeho kolaborativní přístup, kdy uživatelé mohou označovat a komentovat soubory, IP adresy nebo domény , umožňuje neustálé dolaďování detekčních algoritmů a udržuje systém v souladu s nejnovějšími hrozbami.

Pískoviště CAPE

CAPE Sandbox (CAPEv2) je vývojovým pokračováním předchozích projektů, jako byl Cuckoo Sandbox, a stal se velmi výkonným nástrojem pro dynamickou analýzu malwaru , ideálním pro laboratoře a zásahové týmy.

Jeho velká síla spočívá v kombinaci statické a dynamické analýzy k extrakci vnitřních konfigurací, rozbalení skrytých dat a odhalení technik obcházení, které v čistě statických analýzách často zůstávají bez povšimnutí.

CAPEv2 dokáže monitorovat volání API, síťový provoz, změny souborového systému a paměti a generovat velmi podrobné zprávy o chování spuštěného malwaru.

Zahrnuje také systém ladění řízený pravidly YARA a další mechanismy , které pomáhají zpracovávat vzorky pomocí technik anti-sandbox nebo pokročilejších pokusů o maskování.

Zneužívání IPDB

AbuseIPDB je kolaborativní databáze reputace IP adres , která shromažďuje hlášení o škodlivé aktivitě odeslaná uživateli, firmami a automatizovanými službami po celém světě.

Kdokoli nebo systém může nahlásit IP adresy, které provádějí útoky , pokusy o hrubou sílu, spam, zneužívající skenování nebo jiné podezřelé chování, což přispívá ke zlepšení kvality databáze.

Tento komunitní přístup udržuje databázi vysoce aktuální s skutečnou škodlivou aktivitou , která překračuje rámec jednoduchých statických seznamů vytvořených v laboratoři, a činí ji cennou pro blokování nebo filtrování příchozího provozu.

Jeho API usnadňuje integraci těchto informací o reputaci do firewallů, systémů SIEM, systémů WAF nebo vlastních skriptů , takže rozhodnutí o blokování nebo upozorňování mohou být podpořena obohacenými daty o historii každé IP adresy.

Vzhledem ke všem výše uvedeným skutečnostem zůstávají VirusTotal a Jotti dvěma velmi užitečnými nástroji pro specifickou analýzu souborů, ale zapadají do mnohem širšího kontextu, kde se vícejádrové skenery, platformy pro sdílení vzorků, pokročilé sandboxy a analýzy škodlivé infrastruktury vzájemně doplňují a nabízejí mnohem bohatší a akčnější pohled na aktuální hrozby.