Bullguard 2021 正式弃用BD引擎转为Avira引擎

Jerry.Lin

继F-Secure后, 又一OEM BD引擎的厂商投靠Avira.

https://www.bullguard.com/blog/2 ... ion-for-all-seasons
https://www.bullguard.com/about/release-notes.aspx



目测包含Avira所有杀毒模块(包含remediation module), 有APC云查, 尚不清楚是否开启APC未知文件自动上传.

Sentry 得到进一步优化, 从文件名看与之前版本略有区别, 按照BLOG里写可能新增了些ML检测.



================更新========================

1. 通过改旧毒Hash测试, 确认不包括APC未知文件自动上传.

2. Sentry 出现与Avira引擎扫描联动报法(貌似以前和BD就有这种?不大清楚)

1. 可疑文件： Kafan_Sample_d7f3cc72163e809b398c83abb04b237d3f900fee8886e862995a2e5995c3d627.exe
   
2. 
   
3. 路径： C:\Users\test\Desktop\26x (2020-09-30)\26x (2020-09-30)\Kafan_Sample_d7f3cc72163e809b398c83abb04b237d3f900fee8886e862995a2e5995c3d627.exe
   
4. 
   
5. 详细信息
   
6. •    Drop.Win32.SPC.TR/Kryptik.14758a.200
   
7. 
   
8. 修改的文件
   
9. •    C:\Users\test\Desktop\26x (2020-09-30)\26x (2020-09-30)\Kafan_Sample_d7f3cc72163e809b398c83abb04b237d3f900fee8886e862995a2e5995c3d627.exe
   
10. 
    
11. 进程
    
12. •    [5236] C:\Users\test\Desktop\26x (2020-09-30)\26x (2020-09-30)\Kafan_Sample_d7f3cc72163e809b398c83abb04b237d3f900fee8886e862995a2e5995c3d627.exe
    
13. 
    
14. 2020/10/10 11:52:42

复制代码

1. 可疑文件： Kafan_Sample_d44d718c247b1664861f987b1725314f152e43e7c1da80b163f812e1b7c3fdb7.exe
   
2. 
   
3. 路径： C:\Users\test\Desktop\26x (2020-09-30)\26x (2020-09-30)\Kafan_Sample_d44d718c247b1664861f987b1725314f152e43e7c1da80b163f812e1b7c3fdb7.exe
   
4. 
   
5. 详细信息
   
6. •    Drop.Win64.SPC.PUA/CobaltStrike.100
   
7. 
   
8. 修改的文件
   
9. •    C:\Users\test\Desktop\26x (2020-09-30)\26x (2020-09-30)\Kafan_Sample_d44d718c247b1664861f987b1725314f152e43e7c1da80b163f812e1b7c3fdb7.exe
   
10. 
    
11. 进程
    
12. •    [4808] C:\Users\test\Desktop\26x (2020-09-30)\26x (2020-09-30)\Kafan_Sample_d44d718c247b1664861f987b1725314f152e43e7c1da80b163f812e1b7c3fdb7.exe
    
13. 
    
14. 2020/10/10 11:52:43

复制代码

3. 目前出现的机学打分行为报法(Sentry)

1. 可疑文件： Kafan_Sample_d1ec73cf8bd5ba61fca5df78eee2d73e2e7da44a6346eebf89a072bf3e79b3fd.exe
   
2. 
   
3. 路径： C:\Users\test\Desktop\26x (2020-09-30)\26x (2020-09-30)\Kafan_Sample_d1ec73cf8bd5ba61fca5df78eee2d73e2e7da44a6346eebf89a072bf3e79b3fd.exe
   
4. 
   
5. 详细信息
   
6. •    Drop.Win32.ML.1341
   
7. 
   
8. 修改的文件
   
9. •    C:\Users\test\AppData\Local\Temp\IXP000.TMP\ru..................................jse
   
10. •    C:\Users\test\AppData\Local\Temp\IXP000.TMP\files.zip
    
11. •    C:\Users\test\AppData\Local\Temp\IXP000.TMP\TMP4351$.TMP
    
12. •    C:\Users\test\Desktop\26x (2020-09-30)\26x (2020-09-30)\Kafan_Sample_d1ec73cf8bd5ba61fca5df78eee2d73e2e7da44a6346eebf89a072bf3e79b3fd.exe
    
13. 
    
14. 修改的注册表
    
15. •    HKEY_CURRENT_USER\\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.jse\OpenWithProgids : JSEFile (value = )
    
16. 
    
17. 进程
    
18. •    [7032] C:\Users\test\Desktop\26x (2020-09-30)\26x (2020-09-30)\Kafan_Sample_d1ec73cf8bd5ba61fca5df78eee2d73e2e7da44a6346eebf89a072bf3e79b3fd.exe
    
19. 
    
20. 2020/10/10 11:53:20

复制代码

1. 可疑文件： Kafan_Sample_430032941fdecfc49abdef2ede2ffe04c66b99df498a2739005c726cea9ea183.exe
   
2. 
   
3. 路径： C:\Users\test\Desktop\26x (2020-09-30)\26x (2020-09-30)\Kafan_Sample_430032941fdecfc49abdef2ede2ffe04c66b99df498a2739005c726cea9ea183.exe
   
4. 
   
5. 详细信息
   
6. •    Drop.Win32.ScoreExeDrop.860
   
7. 
   
8. 修改的文件
   
9. •    C:\Users\test\AppData\Local\Temp\7ZipSfx.000\j
   
10. •    C:\Users\test\AppData\Local\Temp\7ZipSfx.000\Ldxbe.com
    
11. •    C:\Users\test\AppData\Local\Temp\7ZipSfx.000\HkNSeyKTdmtVJbZBKLt.com
    
12. •    C:\Users\test\AppData\Local\Temp\7ZipSfx.000\FRmjYRyYRGRg.com
    
13. 
    
14. 进程
    
15. •    [4344] C:\Users\test\Desktop\26x (2020-09-30)\26x (2020-09-30)\Kafan_Sample_430032941fdecfc49abdef2ede2ffe04c66b99df498a2739005c726cea9ea183.exe
    
16. •    [3784] C:\Windows\SysWOW64\certutil.exe
    
17. 
    
18. 2020/10/10 11:50:50

复制代码

ytysh

APC在国内连接稳定吗？升级稳定吗？

欧阳宣

倒数第一条那个看着好像是老sentry报法

不过还是至少有实打实的变化的
APC组件里负责自动上传的是个叫local decider的 有证据说只要改了哈希就会再上传一次吗 以前我用红伞时 本地一个文件在多次被扫描的情况下多次被上传的例子是很多的

Jerry.Lin

欧阳宣 发表于 2020-10-10 10:57
倒数第一条那个看着好像是老sentry报法

不过还是至少有实打实的变化的

应该是的, 以前改过挺多次的,凡是改完后并且过本地扫描引擎的, 双击(执行时) 大多数都会触发APC上传, 是有碰到一些EXE可能被本地decider判定不需要上传, 不过很少出现. Avira原版我没观察到一个已经在云端有hash的文件再次触发上传的情况, 不过F-secure倒是有, 还把这套做在了读写监控, 导致卡顿.

很奇怪,测到目前为止Bullguard还没看到云报法, 等新毒包出来试试看.

Kenvix007

Jerry.Lin 发表于 2020-10-11 01:28
应该是的, 以前改过挺多次的,凡是改完后并且过本地扫描引擎的, 双击(执行时) 大多数都会触发APC上传, 是 ...

希望能对新引擎的BullGuard做一个比较全面的测试 让我们了解一下这款产品的优劣.
谢谢!

ytysh

Jerry.Lin 发表于 2020-10-11 01:28
应该是的, 以前改过挺多次的,凡是改完后并且过本地扫描引擎的, 双击(执行时) 大多数都会触发APC上传, 是 ...

可能是Bullguard官方觉得上传文件存在隐私的问题，直接去掉了上传的功能。毕竟相比红伞和FS的用户群体数量，Bullguard用户群体基数能提供的样本确实有限。

蝙蝠BATGOD

感谢分享 不过为什么大家都转向红伞呢？值得深思

henry217

半夜一点BullGuard查杀率一直还可以，换引擎也是向f-s靠齐
---

ytysh

蝙蝠BATGOD 发表于 2020-10-11 06:58
感谢分享 不过为什么大家都转向红伞呢？值得深思

估计是查杀率接近BD，但是支持云查杀而且授权价格有优势。

chunyet

蝙蝠BATGOD 发表于 2020-10-11 06:58
感谢分享 不过为什么大家都转向红伞呢？值得深思

便宜呗，现在杀软公司都不太好过，成本对于他们很重要