勒索防护测试[娱乐向]

显示全部楼层 · 发表于 2022-4-2 15:42:36

本帖最后由 swizzer 于 2022-4-7 20:35 编辑

测试背景

这次测试的灵感来源是昨天的这个样本https://bbs.kafan.cn/thread-2231152-1-1.html。

~~毕竟是少有的一个连我拿IDA都能看明白的样本~~

所以我把样本的源码修改了一下，让它对桌面和图片文件夹进行异或加密。~~这么做是为了绕过智量的诱饵~~

修改后的样本最初在VT上仍然是0检测（忘记截图了···现在双击后卡巴已拉黑）

样本在此——>https://pan.huang1111.cn/s/qeAkh3

显示全部楼层 · 发表于 2022-4-2 15:48:24

我家ESET呢

Stay hungry, stay foolish.

人是只须坚定，这世界对有为者并不默然。

显示全部楼层 · 发表于 2022-4-2 15:48:55

ICzcz 发表于 2022-4-2 15:48
我家ESET呢

不要急，正在赶来的路上

显示全部楼层 · 发表于 2022-4-2 15:49:57

本帖最后由 ICzcz 于 2022-4-2 15:55 编辑

swizzer 发表于 2022-4-2 15:48
不要急，正在赶来的路上

盲猜会miss

不过一定说不定ELG会杀

小插曲：扫描云拉黑

Stay hungry, stay foolish.

人是只须坚定，这世界对有为者并不默然。

显示全部楼层 · 发表于 2022-4-2 16:19:42

本帖最后由 swizzer 于 2022-4-2 16:21 编辑

很不幸，截至目前只有智量失败
虽然这个样本的行为跟真实的勒索还是有所区别的，但是是否也能说明智量的主防面对未知家族的勒索时并非像官网描述的那么神奇呢
@智量官方

官网的宣传

显示全部楼层 · 发表于 2022-4-2 16:24:30

eset杀了？
百年一遇

显示全部楼层 · 发表于 2022-4-2 16:26:01

本帖最后由 swizzer 于 2022-4-2 16:33 编辑

LSPD 发表于 2022-4-2 16:24
eset杀了？
百年一遇

编辑。。

显示全部楼层 · 发表于 2022-4-2 16:31:27

swizzer 发表于 2022-4-2 16:26
勒索护盾对于LiveGrid未记录的样本其实蛮不错的，就是大部分情况下用户碰不上这种样本...

比如这里htt ...

上次看的时候我看见b大说信誉为高危的勒索护盾才拦截

也就是说想要让勒索护盾工作需要有两个可能性：1）程序属于知名勒索家族（Cerber，Locky，……） 2）程序有潜在风险并有可疑行为

对于前者，如果侦测到具体家族行为就算不联网似乎也能查杀（一两年前测试中遇到过），对于后者则需要有两（三）个条件：1）LiveGrid必须连接以查询程序信誉 2）程序必须在LiveGrid上有信誉记录，如果是未知则不会触发勒索护盾防御……一贯的压误报狂魔的作风 3）见文末更新部分

https://bbs.kafan.cn/thread-2212663-1-1.html

显示全部楼层 · 发表于 2022-4-2 16:33:04

本帖最后由 swizzer 于 2022-4-2 16:34 编辑

LSPD 发表于 2022-4-2 16:31
上次看的时候我看见b大说信誉为高危的勒索护盾才拦截

https://bbs.kafan.cn/thread-2212663-1-1.html
...

看来我记反了

但是我这个程序确实是无LiveGrid记录的

~~本来有，但是为了绕过ESET拉黑我就重新编译了一份~~

显示全部楼层 · 发表于 2022-4-2 16:36:25

swizzer 发表于 2022-4-2 16:33
看来我记反了

但是我这个程序确实是无LiveGrid记录的

我这里也有信誉未知的情况下触发勒索护盾的记录
不过是个知名家族
https://bbs.kafan.cn/forum.php?m ... amp;fromuid=1094183

显示全部楼层 · 发表于 2022-4-2 16:37:53

LSPD 发表于 2022-4-2 16:36
我这里也有信誉未知的情况下触发勒索护盾的记录
不过是个知名家族
https://bbs.kafan.cn/forum.php?mod ...

有意思的是原贴中的样本ESET双击不杀
~~莫非是ESET已经把他当作知名家族了？（大雾~~

显示全部楼层 · 发表于 2022-4-2 16:42:09

swizzer 发表于 2022-4-2 16:37
有意思的是原贴中的样本ESET双击不杀
~~莫非是ESET已经把他当作知名家族了？（大雾~~

原帖样本eset信誉一般（谜之信誉判定）

显示全部楼层 · 发表于 2022-4-2 16:45:45

swizzer 发表于 2022-4-2 16:19
很不幸，截至目前只有智量失败
虽然这个样本的行为跟真实的勒索还是有所区别的，但是是否也能说明智 ...

感谢测试, 为了避免误报智量目前在应对此种行为链的勒索报毒门槛稍高了一些，如果是别的加密行为链容忍度会低很多。下个版本智量已经加入了更多维度支撑的行为模型，我这边用下个版本双击已经可以干掉了，

显示全部楼层 · 发表于 2022-4-2 17:14:20

这个和样本区的那个一样么

显示全部楼层 · 发表于 2022-4-2 17:14:46

kuroandsan 发表于 2022-4-2 17:14
这个和样本区的那个一样么

核心代码是一样的（本来就是对着原样本逆出来的）

不过加密的文件夹不一样

显示全部楼层 · 发表于 2022-4-2 17:18:15

本帖最后由 kuroandsan 于 2022-4-2 17:30 编辑

swizzer 发表于 2022-4-2 17:14
核心代码是一样的（本来就是对着原样本逆出来的）

不过加密的文件夹不一样

小测了下fs（不知道是不是这样测

断网miss
屏幕截图 2022-04-02 171510.png

联网（才发现加密了部分

显示全部楼层 · 发表于 2022-4-2 17:20:59

kuroandsan 发表于 2022-4-2 17:18
小测了下fs（不知道是不是这样测

断网miss

果然云信誉对DG的防勒索影响很大

这样看来DG的反勒索更像是云单步

显示全部楼层 · 发表于 2022-4-2 17:25:27

本帖最后由 kuroandsan 于 2022-4-2 17:27 编辑

swizzer 发表于 2022-4-2 17:20
果然云信誉对DG的防勒索影响很大
这样看来DG的反勒索更像是云单步

然而还是漏了一点，刚刚没注意

估计是刚加密了一个文件就拦了

显示全部楼层 · 发表于 2022-4-2 19:04:35

没有人测BETS吗

显示全部楼层 · 发表于 2022-4-3 23:51:46

本帖最后由 anthonyqian 于 2022-4-3 23:55 编辑

来晚了 BD已拉黑，Trojan.GenericKD.39417306，尝试关闭反病毒模块双击。。。。
————

结果和原始样本一样双击秒杀，Detection ID: SuspiciousBehavior.E01F732460E8E32F，但是加密了8个。

[杀软评测] 勒索防护测试[娱乐向]

评分

评分

评分