自制勒索大战各种杀软[AVG终于入库] [样本已释出][胜者:360,趋势 [GD?]]

显示全部楼层 · 发表于 2016-12-19 11:47:33

houtiancheng 发表于 2016-12-19 11:29
我也是这么觉得的，这种防御方式有点低端。
不过这也算是最有效和最后一道防勒索的手段了。
我感觉这次 ...

嗯最低端，这种方式说白了不是防勒索，是防删除防写入。。如果强度高了会影响正常使用和打开，如果低了会被过。
比如用户自身操作删除文件拦截不？（用户主动删除的父进程是explorer）拦截了影响正常使用，不拦截explorer被注入怎么办，再比如docx文档，用office打开写入拦截不，同样拦截了影响正常使用，不拦截被注入的怎么办，图片的也是同理。。
其实拦截勒索不外乎几个方式，不管是多步还是单步，单步是拦截所有安全软件自身认为是不安全的文件操作，操作同时备份已经被篡改的文档，拦截后回滚，多步也是这样，一是监控文档篡改超过篡改的一定阈值开始拦截回滚，二是监控家族样本在篡改文档前的几个行为，达到标准开始包都拦截。。这里我估计除了火绒之外，很多杀软都离不开白名单来排除这个的误报。。

显示全部楼层 · 发表于 2016-12-19 12:00:34

好长看到头晕

显示全部楼层 · 发表于 2016-12-19 12:03:39

皇甫轩辕发表于 2016-12-19 12:00
好长看到头晕

不看图的话也没多长呀~

显示全部楼层 · 发表于 2016-12-19 12:38:02

houtiancheng 发表于 2016-12-19 10:19
开了之后重测还是不行，帖子的费尔图已更新

能否发样本我这里测试一下

显示全部楼层 · 发表于 2016-12-19 12:40:28

楼主你测试BD之前居然不开勒锁防护，表示不能理解。。。
另外求测试EAM

显示全部楼层 · 发表于 2016-12-19 13:02:41

楼主是大牛啊，这个测试要支持一下期待联网后的结果

显示全部楼层 · 发表于 2016-12-19 13:09:44

lz自己写的程序，估计杀毒软件很难区分出这个软件是否是恶意软件……

显示全部楼层 · 发表于 2016-12-19 13:12:37

ESET 10.0怎么没测？

显示全部楼层 · 发表于 2016-12-19 13:30:10

大牛牛逼，自产自销。。哈哈

显示全部楼层 · 发表于 2016-12-19 13:41:27

BD和sep被过了,真是意外啊
小a的hips不给力啊

[技术原创] 自制勒索大战各种杀软[AVG终于入库] [样本已释出][胜者:360,趋势 [GD?]]