W teście AV-Comparatives Endpoint Prevention and Response 2026 żaden z 50 ukierunkowanych ataków nie dotarł do etapu kradzieży danych w środowisku chronionym przez G DATA XDR. 41 scenariuszy zostało zablokowanych w pierwszej fazie, przy próbie wniknięcia na stację roboczą. Pozostałe 9 zatrzymano w drugiej fazie, gdy napastnik próbował rozprzestrzenić się w sieci. Przy każdym z tych 9 ataków system wygenerował alert.
Jak wyglądał test AV-Comparatives EPR 2026?
AV-Comparatives przeprowadziło test od czerwca do sierpnia 2026 r. Każdy z 50 scenariuszy był wieloetapowym atakiem na sieć firmową, wzorowanym na technikach grup takich jak APT28, APT29, Lazarus, Kimsuky, OilRig, FIN7, LockBit i Black Basta.
Scenariusze składały się z trzech faz:
- Faza 1 – wniknięcie na stację roboczą
- Faza 2 – rozprzestrzenianie się w sieci
- Faza 3 – kradzież lub zniszczenie danych
Jeśli testowany produkt nie zablokował napastnika w danej fazie, scenariusz był kontynuowany w następnej.
Faza 1: 41 ataków zatrzymanych na pierwszym przyczółku
W pierwszej fazie system G DATA XDR zablokował 41 z 50 scenariuszy (82%), zanim napastnik zdążył przejść z zainfekowanej stacji roboczej na kolejne maszyny w sieci. Większość z 50 scenariuszy testowych wykorzystywała techniki zaprojektowane do omijania standardowych mechanizmów ochrony.
Techniki ataku, które G DATA XDR zablokował w fazie 1, wraz z opisem działania:
| Technika | Opis działania | Scenariusze |
| Nadużycie MSHTA | Plik HTA uruchamia złośliwy kod przez mshta.exe – legalny program systemu Windows – często bez zapisywania pliku wykonywalnego na dysku. | Plik HTA działający bez pliku wykonywalnego, plik HTA ładujący złośliwy kod przez PowerShell |
| PowerShell z obejściem AMSI | Skrypt próbuje wyłączyć interfejs AMSI, za pomocą którego system Windows przekazuje zdekodowany kod do analizy programowi antywirusowemu. | Skrypt PowerShell z obejściem AMSI, zakodowane polecenia PowerShell uruchamiane ze skryptów VBS i BAT |
| Obejście Mark-of-the-Web | Złośliwy plik umieszczony w obrazie ISO traci znacznik pochodzenia z internetu, dlatego system Windows nie wyświetla użytkownikowi ostrzeżenia. | Program instalujący złośliwe oprogramowanie (dropper) dostarczony w obrazie ISO |
| DLL sideloading | Złośliwa biblioteka DLL jest ładowana przez zaufany program systemowy, na przykład rundll32.exe. | Sideloading biblioteki DLL przez rundll32.exe, zaufana biblioteka DLL uruchamiająca kod w pamięci |
| Unhooking EDR i obejście ETW | Loader usuwa mechanizmy, przez które rozwiązanie EDR monitoruje procesy, lub wyłącza rejestrowanie zdarzeń systemu Windows (ETW). | Loader usuwający mechanizmy monitorowania EDR, wygaszacz ekranu z obejściem ETW |
| Nadużycie zaufanych instalatorów | Złośliwy kod jest ukryty w podpisanym pakiecie MSI lub w zmodyfikowanym instalatorze. | Podpisany pakiet MSI uruchamiany przez MSIExec, instalator z ukrytym backdoorem |
| Ataki z nośników USB | Złośliwy dodatek do programu Excel (XLL) lub skrypt VBS jest uruchamiany z pamięci USB. | Dodatek XLL i skrypt VBS uruchamiane z pamięci USB |
Faza 2: 9 ataków, które przeszły pierwszą linię
W 9 scenariuszach napastnik przeszedł fazę 1, ale G DATA XDR zablokował go w fazie 2 i przy każdym z tych ataków wygenerował alert w konsoli. Po fazie 2 zatrzymanych i wykrytych było wszystkie 50 ataków.
W ośmiu ze wspomnianych dziewięciu scenariuszy nie wykorzystano standardowych programów wykonywalnych (EXE). Atakujący sięgali po inne formaty, między innymi elementy Panelu sterowania (CPL), skróty (LNK) i wygaszacze ekranu (SCR). Takie formaty rzadziej podlegają szczegółowej kontroli, dlatego są chętnie wykorzystywane w atakach.
| Nr scenariusza | Format | Technika ataku |
| 1 | EXE | Zaciemniony loader wykonujący unhooking EDR i wstrzykujący shellcode do pamięci |
| 3 | CPL | Zaciemniony plik Panelu sterowania ze sfałszowanym certyfikatem i obejściem EDR |
| 5 | CHM | Skompilowany plik pomocy uruchamiający shellcode w pamięci |
| 13 | CPL | Plik z USB nadużywający zaufanego uruchamiania przez Panel sterowania |
| 27 | SCR | Zaciemniony wygaszacz ekranu z obejściem EDR |
| 28 | CPL | Plik z USB wyłączający logowanie przed uruchomieniem złośliwego kodu |
| 29 | PIF | Ukryty loader w formacie PIF omijający zabezpieczenia endpointu |
| 33 | PIF | Zaciemniony loader w formacie PIF z technikami unikania wykrycia |
| 34 | LNK | Skrót z USB uruchamiający ukryty złośliwy kod |
Faza 3: cele, których atakujący nie osiągnęli
Ponieważ żaden atak nie dotarł do fazy 3, atakującym nie udało się:
- Zebrać dokumentów, poczty ani baz danych
- Wyprowadzić danych poza sieć przez kanał C2
- Zaszyfrować, zmodyfikować ani zniszczyć systemów i danych
Co wyniki testu EPR 2026 oznaczają dla zespołu IT?
Wyniki testu przekładają się na cztery obszary istotne dla codziennej pracy zespołu IT: skuteczność ochrony, brak zakłóceń w pracy użytkowników, narzędzia do reagowania na incydenty oraz integrację z innymi systemami.
Dwie linie obrony przed atakiem
Większość ataków G DATA XDR zatrzymał już na stacji roboczej. Te, które przeszły pierwszą linię obrony, zablokował w fazie 2, zanim napastnik dotarł do serwerów z danymi.
Brak fałszywych alarmów i opóźnień w pracy użytkowników
W teście dokładności operacyjnej produkt nie zablokował ani nie oznaczył jako zagrożenia żadnej legalnej aplikacji, skryptu czy strony internetowej. G DATA XDR nie powodował przy tym opóźnień w pracy użytkowników, które raport uznałby za istotne, na przykład z powodu analizy w sandboksie. Wszystkie te wyniki system osiągnął na ustawieniach domyślnych, bez dostrajania polityk.
Reakcja na incydent w konsoli G DATA XDR
Gdy G DATA XDR zgłasza incydent, analityk otrzymuje w konsoli wizualizację ataku wraz z jego kontekstem i osią czasu.
Następnie może od razu:
- Odizolować stację od sieci
- Zablokować komunikację wybranego procesu
- Zakończyć proces i uniemożliwić jego ponowne uruchomienie
- Przenieść pliki do kwarantanny lub je usunąć
- Edytować klucze i wartości rejestru
Integracja z SIEM i obsługa w języku polskim
Informacje o zdarzeniach można przekazywać do systemu SIEM w standardowych formatach wyjściowych. Konsola zarządzająca i wsparcie techniczne są dostępne również w języku polskim.
Wyniki w liczbach
G DATA XDR uzyskał certyfikat AV-Comparatives Certified EPR 2026. Wyniki procentowe uśredniają skuteczność po fazie 1, po fazach 1–2 i po fazach 1–3. Premiują zatrzymanie ataku jak najwcześniej.
| Wskaźnik | Wynik |
| Reakcja aktywna (blokowanie), wynik końcowy | 94,0% |
| Reakcja pasywna (wykrywanie), wynik końcowy | 93,3% |
| Wynik łączny (próg certyfikacji: 92%) | 93,7% |
| Ataki zablokowane w fazie 1 | 41 z 50 (82%) |
| Ataki zablokowane po fazie 2 | 50 z 50 (100%) |
| Ataki wykryte po fazie 2 | 50 z 50 (100%) |
| Ataki, które dotarły do fazy 3 | 0 |
| Fałszywe alarmy i nadmierne blokowanie | brak |
| Opóźnienia w pracy użytkowników | brak |
| Konfiguracja | domyślna |
| Testowana wersja | G DATA XDR 1.0 |
Metodologia testu
- Brak uprzedzania
Producenci nie znali terminu testów ani przebiegu ataków. - Narzędzia
Ataki zbudowano na frameworkach Metasploit/Meterpreter, PowerShell Empire i dwóch komercyjnych frameworkach C2. Część wariantów przygotowano z pomocą AI. - Ocena
Sprawdzano, czy produkt sam zablokował atak (reakcja aktywna) i czy przekazał administratorowi alert pozwalający zareagować (reakcja pasywna).
Przykładowy przebieg scenariusza
Raport „Endpoint Prevention and Response (EPR) Comparative Report 2026” opisuje przykładowy łańcuch ataku, czyli kolejne kroki napastnika w typowym ataku ukierunkowanym:
- Faza 1 – wniknięcie na stację roboczą
Użytkownik uruchamia skrypt z maila phishingowego, który ukrywa się, wykorzystując DLL sideloading. - Faza 2 – rozprzestrzenianie się w sieci
Napastnik sprawdza uprawnienia i znajduje dostęp do udziału administracyjnego C$ na innej stacji. Przechodzi na nią, znajduje otwartą sesję administratora sieci i zrzuca pamięć procesu LSASS, aby przejąć jego poświadczenia. Następnie loguje się na serwer i próbuje wyłączyć mechanizmy AMSI i ETW. - Faza 3 – kradzież lub zniszczenie danych
Napastnik znajduje na serwerze dane kart płatniczych i wysyła je przez kanał C2.
W teście G DATA XDR żaden scenariusz nie doszedł do fazy 3.
Chcesz zobaczyć, jak wygląda obsługa incydentu w konsoli G DATA XDR?
SKONTAKTUJ SIĘ Z EKSPERTEM G DATA
FAQ – najczęściej zadawane pytania
To niezależny test rozwiązań do ochrony punktów końcowych klasy EPP, EDR i XDR, przeprowadzony przez AV-Comparatives od czerwca do sierpnia 2026 r. Każde rozwiązanie zmierzyło się z 50 wieloetapowymi atakami na sieć firmową, wzorowanymi na technikach grup APT i operatorów ransomware.
G DATA XDR uzyskał certyfikat Certified EPR 2026 z wynikiem łącznym 93,7%. Żaden z 50 ataków nie dotarł do fazy kradzieży lub zniszczenia danych. 41 ataków zostało zablokowanych w pierwszej fazie, a pozostałe 9 w drugiej.
Certyfikat otrzymują rozwiązania, które osiągnęły średnio co najmniej 92% w reakcji aktywnej i pasywnej, a przy tym mają niski wpływ na codzienną pracę organizacji. Produkt, który dopuści do pięciu pełnych naruszeń, jest automatycznie dyskwalifikowany.
Reakcja aktywna oznacza, że rozwiązanie samo zablokowało atak, bez udziału człowieka. Reakcja pasywna oznacza, że rozwiązanie wykryło atak i przekazało administratorowi alert, który pozwala mu zareagować.
Nie. W teście dokładności operacyjnej G DATA XDR nie zablokował ani nie oznaczył jako zagrożenia żadnej legalnej aplikacji, skryptu czy strony internetowej. Nie powodował też istotnych opóźnień w pracy użytkowników.
Nie. G DATA XDR był testowany na ustawieniach domyślnych, bez zmian w konfiguracji i dostrajania polityk.
Analityk widzi w konsoli wizualizację ataku z kontekstem i osią czasu. Bez opuszczania konsoli może odizolować stację od sieci, zablokować komunikację wybranego procesu, zakończyć proces i uniemożliwić jego ponowne uruchomienie, przenieść pliki do kwarantanny lub je usunąć oraz edytować klucze i wartości rejestru.
Tak. Informacje o zdarzeniach można przekazywać do systemu SIEM w standardowych formatach wyjściowych. Rozwiązanie udostępnia też API do integracji z innymi systemami.
Tak. Konsola zarządzająca i wsparcie techniczne są dostępne w języku polskim.
Pełny raport „Endpoint Prevention and Response (EPR) Comparative Report 2026” oraz raport indywidualny G DATA są dostępne na stronie av-comparatives.org.
Źródła
- AV-Comparatives, Endpoint Prevention and Response (EPR) Test 2026, test: czerwiec–sierpień 2026, publikacja: wrzesień 2026
- AV-Comparatives, Endpoint Prevention and Response (EPR) Comparative Report 2026
- AV-Comparatives, Endpoint Prevention and Response (EPR) Individual Report 2026: G DATA
- G DATA CyberDefense, komunikat o wyniku G DATA XDR w teście AV-Comparatives EPR 2026
