F-Secure Protection 锁库+断网 测试

静影沉璧

一、前言

发现坛里对于FS的单独评测比较少，而我对FS这款杀软还是蛮有兴趣的，尤其是那个封锁逻辑奇特的DG……正好有点时间，便做了个FS的简单评测。

PS：本次测试可能娱乐成分居多，仅供参考。

二、测试说明

1.    测试环境：Windows 10 2016 LTSB x86 虚拟机。

2.    病毒库：用的是20180902的病毒库，为本人将虚拟机断网数天后所得。

3.    测试方式：锁库+断网。这个方式主要为了看下DG面对未知威胁的防御能力

4.    测试样本：均来自病毒样本区191196846大佬的 Kafan Virlist 发布帖，从中删除一些时间靠前的样本，再重新排列而成。总共75枚，详细情况如下：

20180909的样本：8枚

20180910的样本：17枚

20180911的样本：8枚

20180912的样本：35枚

另外还有个special样本包（一共7枚样本），这个是我测试样本时发现过了ATD的样本，放在这里顺便考验一下DG。

三、测试结果

测试结果对照表：

F	防御失败
B	Behavioural，主防杀/行为杀
S	Signature，(扫描)入库杀/启发杀

测试结果：

序号

【1】

【2】

【03】

【04】

【05】

【06】

【07】

【08】

【09】

【10】

【11】

【12】

【13】

【14】

【15】

【16】

【17】

【18】

【19】

【20】

【21】

【22】

【23】

【24】

【25】

【26】

【27】

【28】

【29】

【30】

【31】

【32】

【33】

【34】

【35】

20180909

S

F

S

B

F

S

S

S

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

20180910

B

F

S

B

B

B

B

B

F

B

F

F

B

F

B

F

F

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

20180911

B

B

S

S

F

F

F

F

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

20180912

?

F

S

B

F

B

B

F

?

S

S

B

F

S

B

B

F

?

B

B

B

F

F

B

F

S

F

B

B

F

B

F

B

F

?

Special

F

F

B

B

B

F

?

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

\

图中打问号的5个样本可能因测试环境问题无法运行，故忽略不计。

扫描查杀率：13/70 18.57%

执行后防御率：29/（70-13） 50.88%

Total：42/70 60%

四、总结

FSP还是我比较喜欢的一款杀软，界面和功能都能比较精炼实用。资源占用让我也比较满意。

不过缺点就是看AV-C测试上误报蛮高。其次，个人感觉FS还是太过于依赖DG，因此病毒只要只要过了BD&DG那就基本完蛋了。另外从这次简单测试来看，DG面对未知威胁的防御率还是不怎么高……

总的来说FS是需要改进啊……

最后还要感谢一下病毒测试组的所有成员，感谢你们发布的高质量样本，支持你们！

五、上几张过程图
成功防御的样本（20张，还有9张图传不上来……）：








































另外值得一提的是Kafan_Sample_6f492d9bf91e289eb9e9953c36df63b9943a5fdf8e52a67a620746125ecb5606这个勒索样本，DG没防住，有点小失望

ericdj

感谢测试

Jerry.Lin

M：杀软没反应，但是系统也无明显异常。

这个应该算防御失败吧……因为样本里很多是Banker,Backdoor，其中一部分动作只有个外联leak信息，或者一些遍历一些关键路径的小动作……这个M是怎么算的呢？

对付勒索FS有个DataGuard来撑的

静影沉璧

191196846 发表于 2018-9-15 20:12
M：杀软没反应，但是系统也无明显异常。

这个应该算防御失败吧……因为样本里很多是Banker,Backdoor，其 ...

抱歉，我的疏漏，重新编辑了一下。感谢指正
FS的DataGuard应该是图中的“勒索软件防护”吧，这次貌似没有成功防御……

Jerry.Lin

静影沉璧 发表于 2018-9-15 20:28
抱歉，我的疏漏，重新编辑了一下。感谢指正
FS的DataGuard应该是图中的“勒索软件防护”吧 ...

诶这种竟然会被过……FS的勒索防护不是基于白名单访问的机制么……就是未知程序修改保护目录时都会提示？

静影沉璧

191196846 发表于 2018-9-15 20:54
诶这种竟然会被过……FS的勒索防护不是基于白名单访问的机制么……就是未知程序修改保护目录时都会提示？ ...

唉……然而并没有，等到加密完后才跳出一个诡异的提示

果团团

fs最近云化很厉害，要是断网dg也会废一半

静影沉璧

lqlwle 发表于 2018-9-16 09:45
fs最近云化很厉害，要是断网dg也会废一半

是的。DG算是半云主防，这也似乎能解释防御率低的原因。

心痛的伤不起

静影沉璧 发表于 2018-9-15 20:28
抱歉，我的疏漏，重新编辑了一下。感谢指正
FS的DataGuard应该是图中的“勒索软件防护”吧 ...

FS Protection离线病毒库使用方法：

1.设置系统显示隐藏文件（含受保护的操作系统文件）
2.将压缩包内的 GUTS2 文件夹解压到如下路径即可（系统盘符不是C的请自行更改）：
  （1）Win XP 及 Win2003 系统路径：  C:\Documents and Settings\All Users\Application Data\F-Secure\FSAUA
  （2）Vista、Win7、8、8.1、10及其他系统：  C:\ProgramData\F-Secure\GUTS2
能不能照这个发一份fsp的离线病毒库给我，谢谢了

静影沉璧

y3312068 发表于 2018-9-16 22:28
FS Protection离线病毒库使用方法：

1.设置系统显示隐藏文件（含受保护的操作系统文件）

将压缩包内的 GUTS2 文件夹解压到如下路径即可

抱歉，我好像没看明白。这个压缩包是什么呢？另外我用搜索功能也搜出了一下文件夹，还请您继续指教一下