看不透的LAM engine

显示全部楼层 · 发表于 2017-7-28 11:16:26

本帖最后由阿吉熊于 2017-7-28 11:16 编辑

个人版最新的LAM Engine，大概1-2天就会更新一次。最新的是这个：

这个引擎的扫描和监控规则已经非常不可捉摸了。

最新的精睿样本：http://bbs.kafan.cn/thread-2097679-1-1.html

右键扫描测试结果：

7/120的检出率。。。搞笑？不对，再仔细一看，似乎根本没有联云端检查，完全使用的是本地引擎，所以报毒名称不是JTI-XXX

然而我是联网的，而且随便拿一个样本扫描，只要是exe的，就会报毒JTI-XXX

会不会是问题出在精睿样本的后缀vir上了，McAfee引擎估计认为这是不可执行文件，所以完全不用云扫描（在联网的前提下）

于是又下载了一个更老的精睿样本：http://bbs.kafan.cn/thread-2097024-1-1.html

这又是怎么回事？？？

彻底晕了。。。

看不透，也就是说那7.28包的120个样本都不在云端？似乎也不太可能。总之我彻底搞不懂这个LAM引擎到底是怎么回事了。

另外，发现一个主防报毒。

显示全部楼层 · 发表于 2017-7-28 12:09:04

本帖最后由吃土豆的小山腰于 2017-7-28 12:11 编辑

额////不清楚。。。等大神来看一看吧

不过我在用咖啡的时候就感觉这货对于文件的后缀特别敏感

显示全部楼层 · 发表于 2017-7-29 01:19:03

你可以试试全改exe后缀。反正靠后缀识别而不是文件头识别文件格式非常不安全。

显示全部楼层 · 发表于 2017-7-29 15:39:38

MES10.5。
看了下，里面很多是月神监控的。之前也试过，对于非执行后缀“月神”同样会实时监控的。。。

个人版的监控策略和企业版应该不同，非执行文件应该只监控了写入、执行动作？

显示全部楼层 · 发表于 2017-7-29 15:42:16

PS：MES10.5实时监控到病毒后，报警窗口有时不会弹出来。但系统的“通知中心”会有反馈。

显示全部楼层 · 发表于 2017-7-29 20:37:34

jone_jys 发表于 2017-7-29 15:39
MES10.5。
看了下，里面很多是月神监控的。之前也试过，对于非执行后缀“月神”同样会实时监控的 ...

谢谢！！！

显示全部楼层 · 发表于 2017-7-29 21:58:48

jone_jys 发表于 2017-7-29 15:39
MES10.5。
看了下，里面很多是月神监控的。之前也试过，对于非执行后缀“月神”同样会实时监控的 ...

大神儿，10.5.2 出来了，你能体验到么？

显示全部楼层 · 发表于 2017-7-29 22:46:36

iTomatos 发表于 2017-7-29 21:58
大神儿，10.5.2 出来了，你能体验到么？

PATCH 2？你在哪得到的信息呢？我还没收到哦！
目前官网最新的是Hotfix 2。

显示全部楼层 · 发表于 2017-7-30 00:20:27

jone_jys 发表于 2017-7-29 22:46
PATCH 2？你在哪得到的信息呢？我还没收到哦！
目前官网最新的是Hotfix 2。

官方发布的kb里提到的，据说是要给一些用户体验最少4周才会放出

显示全部楼层 · 发表于 2017-7-30 11:43:23

jone_jys 发表于 2017-7-29 15:42
PS：MES10.5实时监控到病毒后，报警窗口有时不会弹出来。但系统的“通知中心”会有反馈。

mes就是交互太差，要不，是真好

[讨论] 看不透的LAM engine

本帖子中包含更多资源

本帖子中包含更多资源