“比特..毒”加密..文档.. 360独家..【可能并非如此】

vm001

360的新闻“比特币病毒”加密破坏文档图片 360独家推出免疫工具
http://news.163.com/15/0509/15/AP6EQK1Q00014AED.html

这个经测试不是全部防御，确切的说可能只是将损失降到非常非常的低....（这也好。总比其他厂商不作为的强多了）
测试样本大伙可以到样本区搜集，这里测试主防（行为防护）由于360对此类样本有md5拉黑的，有的是提取了特征放到本地的，有的是qvm识别的，所以测试前，先将360的自我保护关闭，然后删除 \360\360SAFE\deepscan\QVM下的qvm.dll  删除 \360\360SAFE\deepscan\ave本地库，关闭360的云安全计划防止上传样本，其次由于此类样本有个共同的动作就是注入系统进程svchost.exe比如下图



如果这里选择阻止，那么样本就没有进一步行为，进程随着阻止进程被结束掉，而这里如果放过去，360就会拦截不到对文档图片的修改，所以我们还需要人为的去修改一下系统文件svchost.exe的md5制造出不在360白名单的环境..

以上准备工作就绪然后我们测试观察（这里我换了好几个样本测试的，所以截图里的文件名可能不一致，记得修改下样本的md5）

写计划任务和启动项360拦截，我们阻止




下面这步选择允许


然后看（由于前面修改系统文件的md5，所以这里系统进程svchost.exe已经是灰文件）



阻止的同时其实txt文件已经被修改





所以说有的人说360这个防御是阻止未知程序对文档文件的访问-----这个结论显然不是..
可能判断是未知程序连续修改几个文档文件（或者是3个或者是5个）后将其阻止，判定为比特币敲诈者..这样就最多损失一两个文件来保护其他剩余的大部分文档？....有兴趣的可以测试下

vdmcontrol

不会损失，自己认真测试下就知道了

利刀1937

vdmcontrol 发表于 2015-5-30 02:29
不会损失，自己认真测试下就知道了

是不是和原先360杀毒的文档堡垒有关系？