大蜘蛛的DPH对战wanna失守了+诺顿的SONAR断网完蛋

驭龙

今天无聊，所以测了两个软件的双击玩法，仅供参考，因为只是粗略的玩一下，测试方法和环境已经说明了

别的测试已经证明DrWeb的启发杀wanna，所以我用2016 11月的特征库大蜘蛛，关闭文件监控下联网双击wanna
特征库日期关闭Spider Guard监控


识别启动项添加，我选择阻止（自定义开启的启动项询问）


防火墙的各种询问我全部选择阻止，但系统还是被加密，DPH没有发挥效果


Spider Guard关闭，所以启发并不会发威


系统彻底被加密，DrWeb的DrWeb Process Heuristic真的是需要新特征库才能发挥最大的效果，单单联网是不行了


补一张启发杀，也就是说不关闭监控的情况下，DrWeb 使用半年前的特征库就能杀这次的wanna


其实我想说的是这种测试就是玩，来看看能不能提前防御wanna而已，事实上12号晚上大部分安软已经拉黑和入库威胁，因此普通用户中招的概率并不高，再加上个人用户大多数有路由器，所以wanna并不容易侵入，大家也不必太恐慌。

PS：2楼的诺顿就是很好的例子，联网的话，根本无惧wanna，更何况诺顿的IPS早就封堵了永恒之蓝这个漏洞了。

驭龙

玩一下双击，Windows 7 X32系统，NS 22.8 SONAR 11版本引擎 SDS特征库是1月24日的

测试方法为断网双击，确实是被过，文件被加密，不过文件加密以后重新联网，NS开始发威。

各种杀


各种回滚


  

SONAR各种杀




SDS特征库日期。



其中还出现过C杀和Reputation 1杀，但文件还是被加密，没有被回滚。

也就是说完全断网的环境中NS无法防御这个威胁，只要联网，中招的可能性微乎其微，因为从SONAR的报毒名看并不是与云库联动的报法

看来NS的SONAR断网真的会GG了，如果网络不稳定，不推荐使用NS

houtiancheng

赞一个，主防也需要及时的特征更新才能达到最好效果~

驭龙

houtiancheng 发表于 2017-5-14 18:16
赞一个，主防也需要及时的特征更新才能达到最好效果~

是啊，主防也需要经常更新才能发挥好效果，有时候对付未知威胁，主防有时候也是力不从心，所以启发 主防 云杀 网络防御多重防御的安全软件才能可靠一些

lzswwslz126

所以无需太担心了 不联网基本不会有中病毒发风险 除了u盘
联网的话安软的云响应还是挺快的  大厂的安软+uac+系统防火墙+及时打补丁就好了
有重要资料的记得备份

浪剑飞舟

反正能更新的全更新，能装的全装上。
我20G学习资料的种子可不能出问题啊

wjcharles

驭龙 发表于 2017-5-14 18:12
玩一下双击，Windows 7 X32系统，NS 22.8 SONAR 11版本引擎 SDS特征库是1月24日的

测试方法为断网双击 ...

这回是通过内网传播的，跟直接本地双击可能会有些区别。。。在断网情况下，传播和漏洞利用这一步，ips和sonar会不会拦截用以前的库的话~

驭龙

wjcharles 发表于 2017-5-14 19:13
这回是通过内网传播的，跟直接本地双击可能会有些区别。。。在断网情况下，传播和漏洞利用这一步，ips和s ...

我在Symantec区发了帖子，IPS完全可以拦截的，所以不需要担心，但需要四月份的IPS库才可以，如果完美防御需要5 12日的IPS库才可以。

ccboxes

houtiancheng 发表于 2017-5-14 18:16
赞一个，主防也需要及时的特征更新才能达到最好效果~

请问SB是否有实时监控，可以自动入沙吗？

nonote

不知道sep的暗网客户端断网情况下防御怎么样？暗网客户端不就是断网专用么
还有，万物杀是什么意思？误杀？