Cybereason RansomFree防勒索的路子真野，这就是小厂的优势，服！

显示全部楼层 · 发表于 2017-5-18 00:39:01

在@houtiancheng 的测试[技术原创] WanaCrypt0r勒索病毒：20款杀软主防测试【新增变种测试，结果有变】中Cybereason RansomFree对勒索似乎有不错的效果，便装来测试了一波，其原理就是专门针对勒索的轻量级主防。发现效果相当好，双击的几个勒索都成功防御，没有文件被加密。
然而众所周知，勒索病毒的行为一般不会很显眼，唯一异常的就是对大量文件的频繁读写，是Cybereason RansomFree可以在加密前就查杀吗？

从我的进程监控工具来看，大部分情况下拦截时病毒都在进行疯狂的硬盘读写，无疑是已经在加密了，Cybereason既没有文件夹保护，又没有回滚，怎么会能确保文件不失呢？

答案真的是太逗比了——诱饵！

Cybereason RansomFree会在你的硬盘重要位置（比如C盘根目录、我的文档等）创建大量隐藏或不隐藏的、内容随机的假文档。同时，会在你存文档的文件夹外额外创建一个名字相似但是排序靠前的文件夹，一样塞满假文档！这样就可以在定位勒索程序的大量读写的同时，保护用户文件不被先加密。

只能说这真是小厂优势，卡巴、铁壳、趋势之类的大厂要敢这么做早就被投诉信淹没了吧！

显示全部楼层 · 发表于 2017-5-18 08:46:11

一般是首尾各放置一个文件夹

显示全部楼层 · 发表于 2017-5-18 08:57:05

之前有人提到过，不过不知道是不是只是靠文件名排序来让诱饵先加密？
是的话，随机选择文件加密怎么办……

显示全部楼层 · 发表于 2017-5-18 08:59:41

似乎已经有勒索意识到这一点了

显示全部楼层 · 发表于 2017-5-18 09:00:23

这个有点意思了

显示全部楼层 · 发表于 2017-5-18 09:06:21

houtiancheng 发表于 2017-5-18 08:57
之前有人提到过，不过不知道是不是只是靠文件名排序来让诱饵先加密？
是的话，随机选择文件加密怎么办… ...

不清楚，可能凭运气吧。。。。。。

显示全部楼层 · 发表于 2017-5-18 09:14:06

类似360以前检测文件名的理念

好用就行

显示全部楼层 · 发表于 2017-5-18 09:51:37

Gollum 发表于 2017-5-18 08:46
一般是首尾各放置一个文件夹

是，我当时正在用影子实机玩毒，结果重启一看这么多随机文件夹，我还以为影子被穿了呢。。。。。。。。。。。

显示全部楼层 · 发表于 2017-5-18 09:56:40

ccboxes 发表于 2017-5-18 09:51
是，我当时正在用影子实机玩毒，结果重启一看这么多随机文件夹，我还以为影子被穿了呢。。。。。。。。。 ...

我也用影子玩~之前始终显示隐藏文件的，但装了这个以后很碍眼，不得不隐了

显示全部楼层 · 发表于 2017-5-18 11:05:01

各出奇招啊
曾见过某个号称百分百防勒索的小作品，原理据说是每隔几毫秒检查一次文件是否被修改
另外，HMPA也会在C:\Windows\CryptoGuard自动备份被修改的文档，如果行为检测到是恶意加密就会回滚恢复文档（但不包括TXT文件，作者说TXT不受保护是因为缺乏结构）

[讨论] Cybereason RansomFree防勒索的路子真野，这就是小厂的优势，服！

评分