Ладно, займёмся антивирусом. Он здесь обновляемый, но это за отдельные деньги — нужно оформлять подписку на соответствующий сервис (я воспользовался трехмесячным пробным периодом). Сканируется не весь трафик, а лишь четыре протокола — HTTP, FTP, POP3 и SMTP, где обнаруживаются сами вирусы и zip-архивы с таковыми. IMAP в списке отсутствует, для HTTP возможны лишь три порта — 80, 8080 и 3128 (работа через прокси). Не распознаются: полиморфики (ну, это понятно), мультипортовое скачивание (Flashget и подобные «качалки»), шифрованный трафик (VPN) и запароленные архивы, трафик через нестандартные порты, двойная и более упаковка в zip-архивы. Как я понял, не распознаются также архивы другого типа, кроме zip, gzip и gz.
Обновление сигнатур занимает минуту с небольшим, изначально же база пуста, и антивирусное сканирование просто не включается. Первая загрузка принесла мне восемьсот сигнатур, в основном сетевые/почтовые черви и всяческие даунлоадеры троянов.
Для экспериментов у меня имеется два варианта рассадников заразы — компьютерровская почта и сайты типа astalavista.com. Разумеется, на компьютерах установлен и обычный антивирус — старенький Symanteс 2003, до сих пор исправно обновляющийся. Изначально я рассчитывал на то, что мне с некоторыми усилиями, но удастся найти вирус, который устройство не ловит. Попробуем для начала получить полторы тысячи сообщений с «КТ»-почты. Загрузка процессора устройства во время приёма почты скачет в основном в районе 30-40%, периодически выпрыгивая на отметку 90-95%. Но вот вирусы, увы, не появляются на страничке статистики, хоть все вроде бы настроено правильно. Итого, принято 1600 с лишним сообщений, из них 3-5% с троянами, и ни один не отфильтрован нашим ZyXEL P1.
Ладно, будем считать, что почта для устройства слишком сложна. Отключаем Symanteс и в течение часа лазаем по ссылкам с Astalavista, скачивая один за другим архивы с «кряками». Вот их уже целая папка накопилась… Нет реакции. Ладно, будем также считать, что пираты стали внимательнее относиться к чистоте своих отстойников. Опять отключаем Symanteс (ибо он сам включается по тайм-ауту) и загружаем архив с трояном из письма на рабочий стол второго компьютера. С него по SSH отправляем на собственный веб-сервер, разрешаем полный доступ. С защищённой устройством машинки заходим на страничку и банально скачиваем архив. Ноль реакции. Сканируем принятый файл Symanteс’ом — да, вот он троян, никуда не пропал по дороге. Ладно, создаём на защищённом компьютере письмо с вирусным вложением и отправляем самому себе. Ушло. Пришло. Открываем, достаём файл, проверяем Symanteс’ом — есть. Ни «КТ»-сервер, ни ZyXEL P1 его не отловили. Наверное, у меня не те вирусы… Ну извините, какие уж есть, старья не держим.
В итоге изначальная идея найти вирус, который не ловится, трансформировалась в поиск хотя бы одного вируса, который ловится. Соответственно, я отправился в Сеть искать «правильные» вирусы. Рекомендованный Серёжей Вильяновым warez.com оказался весьма безобидным сайтом — за час беспорядочного блуждания по ссылкам, нажатия всех «ОК’ев» и даже заполнения анкеты на получение выигрыша в десять тысяч долларов не произошло ничего серьёзного. В папку под названием Musor, кроме собственно мусора, даже легло полтора десятка полезных софтин, но счётчик вирусов остался на нуле. Правда, цифра 44 насчиталась в графе Intrusion Detected, но это все попытки доступа к IIS, который у меня установлен слишком нетипично, чтобы просто так с наскоку заставить его делать что-то нештатное. Вирусов же опять, увы… Пришлось искать уже специально собранный вирусный архив, из которого были успешно выкачаны три трояна, соответствующих именам из списка обнаруживаемых устройством. И были в конце концов обнаружены. Но тем не менее сохранены на диске. Правда, сохранены в испорченном виде — не разбирался детально, но, похоже, ZyXEL переводит код в текст, обрезая восьмой разряд, и такие трояны уже работать не должны. Один из них, впрочем, продолжает обнаруживаться Symanteс’ом.