#Ransom

显示全部楼层 · 发表于 2022-5-22 09:04:48

huangzihang 发表于 2022-5-22 01:51
看了MDE的AV-T，连续好几年protection是0，短短几年从0-3.5-6霸榜，也没收购什么很强的安全公司。怪不得 ...

MDE具体的策略应该是可以调整的吧，可以设置成不非白即黑的？

显示全部楼层 · 发表于 2022-5-22 09:28:39

显示全部楼层 · 发表于 2022-5-22 10:40:02

显示全部楼层 · 发表于 2022-5-23 16:22:53

lexsm 发表于 2022-5-22 01:33
火绒检测挺玄学的，我记得去年就有人说过火绒在不同设备杀毒能力不同

是的，如果观察仔细的话样本包的检测，不同的人有不同的结果，所以对用户来说是比较大的风险（火绒客服反馈能检测，实际在用户端性能原因检测不到）

显示全部楼层 · 发表于 2022-5-23 16:27:37

诺顿Heur.AdvML.B

显示全部楼层 · 发表于 2022-5-23 16:38:22

JuMin 发表于 2022-5-23 16:22
是的，如果观察仔细的话样本包的检测，不同的人有不同的结果，所以对用户来说是比较大的风险（火绒客服反 ...

大部分情况下应该都是虚拟沙盒引擎或者国外样本包

有些时候甚至虚拟沙盒引擎能够检测到了，换台电脑再扫发现传统特征引擎也能检出

理论上双击可能不影响

显示全部楼层 · 发表于 2022-5-23 16:50:51

火绒是真的恶意行为监控纯主防多步拦截规则发威查杀的

ADV是高启发的意思

不管是什么杀软，主防杀都得看测试机器的日常文件数量和类型病毒的加密顺序测试机器性能何时命中主防多步拦截规则，主防测试每台测试机器每次结果都不一样也都很正常，特别是勒索病毒

根据29楼测试，病毒是会加密诱捕文件，但是在桌面主防多步拦截规则优先命中，而在C盘根目录诱捕文件则优先命中

19楼的测试，文件是肯定没有彻底加密完的，主防多步拦截规则被触发命中，说明此时也还在加密，不过通常加密了一大半才命中

不过相较于主防监控杀，勒索诱捕杀确实更快文件损失更少，但是有些勒索会绕过诱捕文件或者诱捕文件加密顺序优先级较低就无法触发

听说火绒后面可能会加回滚来防止主防加密了一大半才查杀的情况

显示全部楼层 · 发表于 2022-5-23 17:08:10

wwwab 发表于 2022-5-23 16:50
火绒是真的恶意行为监控纯主防多步拦截规则发威查杀的

ADV是高启发的意思

火绒的ADV杀还真挺罕见的，规则库感觉非常小

显示全部楼层 · 发表于 2022-5-28 12:45:51

wwwab 发表于 2022-5-23 16:50
火绒是真的恶意行为监控纯主防多步拦截规则发威查杀的

ADV是高启发的意思

感谢解答，以前就奇怪的问题了

显示全部楼层 · 发表于 2022-5-31 21:24:16

KolominaAntiVirus
360引擎杀

[病毒样本] #Ransom

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块