BD的RootKit检测功能是不是有点弱

记录微笑

RT，https://bbs.kafan.cn/thread-2131930-1-1.html，这个是我测试使用的样本，由于只有一个用驱动锁首的行为，没有其他恶意行为，我就直接直接实体机测试了。
这个驱动在没加载的时候BD可以查杀。结果关闭BD的防病毒和ATD，双击后重新打开后BD完全没反应，快速查杀，以及自定义查杀勾选rootkit扫描都没法查杀，直接查杀C:\Windows\sysWOW64\drivers，显示安全，看日志竟然提示找不到jus3310s.sys文件（不得不说这个操作真的是令人窒息，都列出来文件名了还提示找不到该文件）。救援模式还要下载文件，BD在国内的网络极慢，于是就放弃了。
后来用了卡巴的tdsskiller，从扫描到成功清除，花了不到2分钟。

温馨小屋

我记得以前测试里BD清rootkit挺好的，现在倒退了吗

裂空我爱杰

能拦截就行了，干嘛要感染模式呀哈哈

欧阳宣

又是这种 单个样本 BDmiss了卡巴杀了

“BD杀rootkit不如卡巴”

的论调

记录微笑

欧阳宣 发表于 2019-5-20 09:34
又是这种 单个样本 BDmiss了卡巴杀了

“BD杀rootkit不如卡巴”

关键是死的驱动能杀，活的就不行了。
我真不知道你的这种论调自己没有反思过吗???

欧阳宣

whl2606555 发表于 2019-5-20 12:09
关键是死的驱动能杀，活的就不行了。
我真不知道你的这种论调自己没有反思过吗???

我意思是 如果你遇到了恰好是卡巴miss BD拦截了的一个样本

你是不是就得出完全相反的结论了？

你要是完全把注意力放在这一个样本上那当然这个帽子可以扣 但是由一个点推及整体情况是很不客观的 这是第一个点

而且啊
直接实体机测试
在已经知道可以查杀驱动情况下 关闭了防病毒和ATD
这些都是大忌啊
即便是故意测毒也是大忌

以前我也遇到那种一个文件查杀本来是被诺顿杀了 测毒的人自己作死在关闭监控的情况下 去测sonar被过 然后开始喷sonar弱的 你想想你和他有啥区别？这是第二个点

你在明知BD能查杀这个驱动的情况下 故意让恶意驱动避开了监控 感染了 再说BD的rootkit检测能力有问题 该反思的是谁？这个rootkit明明第一步监控就被检测了才对啊。原帖里2楼就是活生生的例子

记录微笑

欧阳宣 发表于 2019-5-20 12:53
我意思是 如果你遇到了恰好是卡巴miss BD拦截了的一个样本

你是不是就得出完全相反的结论了？

万一我先用的激活工具怎么办？
为什么卡巴能扫描到？
我测的是rootkit扫描能力，又不是主防。

欧阳宣

whl2606555 发表于 2019-5-20 13:04
万一我先用的激活工具怎么办？
为什么卡巴能扫描到？
我测的是rootkit扫描能力，又不是主防。

但是你扣帽子扣的是“检测能力”，那BD第一步就检测/扫描到这个驱动了 fs那楼也是这个情况

那你说的情况相当于已经中毒 然后再分别把卡巴和BD都当成一个清除工具来用 那和标题已经没关系了

“rootkit扫描能力”即便在这个例子里BD和卡巴也是一样的 当然清除能力这个例子里是弱的

但愿以后您遇不到BD能清除卡巴不能的例子吧 我反正觉得是难说

您可能觉得我有点抠字眼 但是我也觉得您是故意在挑极端环境 挑一个“万一”才能把这番话继续说下去
我反正是不会在已经中毒的情况下去找BD做急救工具的 我相信大部分人都不会 就算EEK和MBAM都比BD更能把系统里的毒抠出来 还免费呢

欧阳宣

win32病毒受害者 发表于 2019-5-20 14:20
楼上的废物气急败坏，估计是买了BD正版又不肯承认是买了一个性能很烂的软件，所以一看见别人指出BD的不好立 ...

讲道理急的是楼主啊。

@whl2606555 愿意秉公处理一下不？