【20170513已更新特征库】关于微点主防防御wannacry“勒索病毒”的简要提示

显示全部楼层 · 发表于 2017-5-13 22:36:53

本帖最后由 littlefritz 于 2017-5-14 22:12 编辑

经过测试，微点主防3月的主程序和特征库
（1）无法事前识别，即，未入库，也无法通过虚拟+启发发现。
（2）可以通过主防，事后清理蠕虫主程序和衍生物，且回滚较为彻底，库文件和可执行文件均删除，留下蠕虫的一些配置文件。
（3）被篡改的文件无法回滚或修复，系统内非核心的部分，测试文件均被加密，无法读取。
结论:微点主防无法事前清除病毒，病毒文件成功执行，测试的文本文档全部被加密，但事后微点可以识别病毒为“未知木马”。故微点无法阻止病毒行为，无法修复文件，但能清除病毒。因此可以认为针对此类病毒，其侦测逻辑不够完美，拦截点较为靠后，不能有效防御此病毒。

显示全部楼层 · 发表于 2017-5-13 22:45:24

上午我就测试了，微点拦截失败，哎微点服务器又出问题了，又升级不了

显示全部楼层 · 发表于 2017-5-13 22:56:13

a445441 发表于 2017-5-13 22:45
上午我就测试了，微点拦截失败，哎微点服务器又出问题了，又升级不了

事实上我觉得在没有病毒库的情况下，微点做的也不算太差。毕竟从行为上来讲，批处理修改文件这种行为应该是灰名单里面的，难以识别意图。这次微点时候拦截我看也不是因为修改文件的模型，而是病毒操作了正常情况下不应该操作的系统文件和共享服务，而被侦测拦截，这种行为是很典型的异常行为，就容易拦截了。

显示全部楼层 · 发表于 2017-5-14 09:02:32

littlefritz 发表于 2017-5-13 22:56
事实上我觉得在没有病毒库的情况下，微点做的也不算太差。毕竟从行为上来讲，批处理修改文件这种行为应该 ...

微点貌似前面更新过拦截敲竹杠的规则，但是我虚拟机恢复，微点服务器出问题升级不了，不知道升级后会拦截到什么地步

显示全部楼层 · 发表于 2017-5-14 15:34:01

我是满怀希望的来看看。

可惜！现实是残酷的～～

显示全部楼层 · 发表于 2017-5-14 17:42:20

我现在好奇微点是否可以事前阻止病毒通过漏洞入侵，有木有童鞋可以试试看

显示全部楼层 · 发表于 2017-5-14 22:12:01

2017-05-13 19:20:24微点更新病毒特征库，1.6.2896.170513已经能够通过特征检查查杀此病毒。病毒名称为Worm.Win32.WanaDecryptor.x。

显示全部楼层 · 发表于 2017-5-14 22:32:46

本帖最后由 a445441 于 2017-5-14 22:34 编辑

littlefritz 发表于 2017-5-14 22:12
2017-05-13 19:20:24微点更新病毒特征库，1.6.2896.170513已经能够通过特征检查查杀此病毒。病毒名称为Worm ...

预升级不能注册和升级病毒库，哎

显示全部楼层 · 发表于 2017-5-15 11:23:50

a445441 发表于 2017-5-14 22:32
预升级不能注册和升级病毒库，哎

服务器抽风吧

显示全部楼层 · 发表于 2017-5-15 13:22:39

微点真的已经死了

[微点] 【20170513已更新特征库】关于微点主防防御wannacry“勒索病毒”的简要提示

本帖子中包含更多资源