测试360对于新版Magniber勒索病毒的防护

00006666

测试360对于新版Magniber勒索病毒的防护

新版Magniber为cpl扩展名

双击后会被默认拦截运行



如果这里选择允许程序运行

会跟以前MSI扩展名的一样，拦截远程线程注入，拦截后没有文件被加密   

能拦截注入的前提是360开启了核晶引擎





总结:日常使用，建议开启核晶防护

样本:  https://bbs.kafan.cn/thread-2240470-1-1.html

fzp070

感谢分享！
360安全国内老大哥的地位稳稳的

1094947421

除非明确在表述里说明是病毒，否则，风险程序，可疑操作，这种含糊不清的描述在我看来就是防御失败了，所以av-c的黄条有什么用？hips的疯狂模式是不是就100%防御？不过就算直接报毒了，鉴于杀软的误报率，也会降低报毒的可信度。

00006666

1094947421 发表于 2022-8-1 00:39
除非明确在表述里说明是病毒，否则，风险程序，可疑操作，这种含糊不清的描述在我看来就是防御失败了，所以 ...

钓鱼cpl文件本来就是被拦截的，手动放行才有后面的HIPS，也没哪个正常文件会伪装成cpl扩展名的吧………

1094947421

00006666 发表于 2022-8-1 00:43
钓鱼cpl文件本来就是被拦截的，手动放行才有后面的HIPS

风险程序可不算报毒，我每个不认识的软件都报风险，那我的查杀率是不是100%？

00006666

1094947421 发表于 2022-8-1 00:46
风险程序可不算报毒，我每个不认识的软件都报风险，那我的查杀率是不是100%？

本来就没有哪个正常程序会伪装成cpl文件……，至少我没见过

1094947421

00006666 发表于 2022-8-1 00:47
本来就没有哪个正常程序会伪装成cpl文件……，至少我没见过

那是你懂，别人未必，全都不懂的会觉得所有弹窗都是报毒，稍微有点常识就能知道直接报毒和hips弹窗的区别，360的hips弹窗真的非常多，比火绒都多，一点都不智能，每次看到有人发360的hips拦截当成防御成功就很想吐槽。

00006666

1094947421 发表于 2022-8-1 00:39
除非明确在表述里说明是病毒，否则，风险程序，可疑操作，这种含糊不清的描述在我看来就是防御失败了，所以 ...

系统正常的cpl文件不会被拦截，以前有人用自制cpl文件来绕360，比如MSF之类的可以直接生成cpl文件，所以后面就有这种拦截钓鱼cpl文件的规则。

00006666

1094947421 发表于 2022-8-1 00:58
那是你懂，别人未必，全都不懂的会觉得所有弹窗都是报毒，稍微有点常识就能知道直接报毒和hips弹窗的区别 ...

火绒问题是很多项目基本不拦截，默认的拦截项很多都没开，那肯定没弹窗……

1094947421

00006666 发表于 2022-8-1 01:02
火绒问题是很多项目基本不拦截，默认的拦截项很多都没开，那肯定没弹窗……

无论是主防记录程序行为发现恶意操作直接隔离并回滚，还是强特征码查杀关键作恶程序，都能明确定性和阻止结果的发生，都比这种给了用户操作空间充满不确定性的hips拦截更加靠谱。