ESET防勒索锁库测试

wangfeng66

fireherman 发表于 2017-5-19 16:30
占位，求顶置。

测试环境：WinXP SP3（未打补丁）

放勒索还是在HIPS或者沙盘。很显然ESS的HIPS规则还需要改进。

KK院长

fireherman 发表于 2017-5-19 16:30
占位，求顶置。

测试环境：WinXP SP3（未打补丁）

我本地 下载了个 勒索，关了小A所有的组件，只留下 防火墙， 防火墙设置 公共模式 自动， 双击， 文件直接加密，我想是否我设置为询问会 好了， 设置 询问后 文件 也同样加密，但6秒种后 防火墙提示，我阻止了，但文件照样 加密了。

我想这就是软件的漏洞，被人家发现了。

fireherman

KK院长 发表于 2017-5-19 18:01
我本地 下载了个 勒索，关了所有的组件，只留下 防火墙， 防火墙设置 公共模式 自动， 双击， 文件直接加 ...

不是的，主要是我们（我和你）这种测试的方式不对：

这次大规模的爆发，是因为漏洞导致445“泄密”（远程执行程序）；

如果病毒库已经更新，本地静态启发强（小A，ESET，小红伞），也能拦截，因为在本机这里的文件会被杀掉，远程根本无文件可控。（应该没错吧？）

而我们的测试是：把病毒下载到本地，强制不升级病毒库，然后手动双击样本（病毒爆发正正是因为由远程控制“双击”，防火墙要拦截的正是【远程控制这一步】）

ESET的防火墙是可以监控这一步的，小A应该也可以（还是那句，是我们测试的方式不同（很难实现，因为要通过远控来测试））



而我们测试时，防火墙的弹窗提示的是【病毒加密后上传密匙】，所以……测试并不严谨（也很难实现）。

KK院长

fireherman 发表于 2017-5-19 18:07
不是的，主要是我们（我和你）这种测试的方式不对：

这次大规模的爆发，是因为漏洞导致445“泄密 ...

恩， 不严谨是肯定的，要模仿 环境 我们基本做不到，但想这样的软件 肯定是以后大大的发展的，我们在杀毒 主防等防不住的时候，防火墙是否能救我们一下呢， 实际上像毛豆一样的软件可能才是我们想要的样子，如果杀毒软件可以像它就好了。

fireherman

KK院长 发表于 2017-5-19 18:19
恩， 不严谨是肯定的，要模仿 环境 我们基本做不到，但想这样的软件 肯定是以后大大的发展的，我们在杀毒 ...

这倒不一定的，漏洞肯定是有（不管是系统本身，还是杀软自身，都有漏洞），Comodo自身也肯定有漏洞可钻，只不过人家黑客不屑对付个人用户罢了。

作为普通用户，管好自己就行，防火墙是必要的，好像这次大规模勒索爆发，至少自己不是“那条鱼”，殃及池“鱼”那条“鱼”；

你用小A起码有个IDP主防，我用ESET，那个AMS……

fehd

没多大意义 肯定安装了新更新

fehd

不更新 根本识别不了

fehd

不信你安装个官方的512之前发布的版本

B100D1E55

fehd 发表于 2017-5-19 20:59
不信你安装个官方的512之前发布的版本

不认真看帖也就算了，还三连发……你也是好激动啊

B100D1E55

fireherman 发表于 2017-5-19 16:30
占位，求顶置。

测试环境：WinXP SP3（未打补丁）

除了没有防火墙弹窗外和我当时测的情况差不多