KES的Application Control可以一定限度地禁止驱动加载

显示全部楼层 · 发表于 2022-8-1 14:02:00

本帖最后由 Jirehlov1234 于 2022-8-1 08:53 编辑

众所周知64位下卡巴的HIPS不能监控驱动加载，但是KES的Application Control一定程度上可以。

需要开启DLL检测

任意限制条件都可触发，经测试HASH、签名、Metadata、对象路径均可。

测试1 InstDevEx.exe

服务成功安装，但是驱动启动失败，被拦截

测试2 360急救箱

普通的sys被拦截

改名后的sys与其他文件名也被拦截

但急救箱依然成功进内核（没有进内核失败的弹窗），可见AC的拦截有局限性。

实用性的话，可以通过AC拉黑想要拉黑的驱动的HASH，来实现黑名单功能。

显示全部楼层 · 发表于 2022-8-1 16:09:39

看来AC的驱动拦截能力不如Furootkit（不是

显示全部楼层 · 发表于 2022-8-1 16:52:11

我这边官网下的kes出了个bug.......HIPS里依旧有加载驱动的权限设定
卡不卡?

显示全部楼层 · 发表于 2022-8-1 16:54:49

anxiety520 发表于 2022-8-1 08:52
我这边官网下的kes出了个bug.......HIPS里依旧有加载驱动的权限设定
卡不卡?

我这里设了四五十个限制条件，不卡。。。。仅供参考

显示全部楼层 · 发表于 2022-8-1 17:03:16

Jirehlov1234 发表于 2022-8-1 16:54
我这里设了四五十个限制条件，不卡。。。。仅供参考

hips里的规则不要紧，主要是AC的控制dll加载，可能不太实用

显示全部楼层 · 发表于 2022-8-1 19:33:21

卡巴斯基加强版和标准版是否有这个？

显示全部楼层 · 发表于 2022-8-1 19:50:28

dongwenqi 发表于 2022-8-1 19:33
卡巴斯基加强版和标准版是否有这个？

没有，Application Control只是控制什么样的软件不能启动以及控制dll加载，一般用在企业

显示全部楼层 · 发表于 2022-8-1 19:52:49

anxiety520 发表于 2022-8-1 19:50
没有，Application Control只是控制什么样的软件不能启动以及控制dll加载，一般用在企业

好吧

显示全部楼层 · 发表于 2022-8-1 20:13:12

本帖最后由 00006666 于 2022-8-1 20:14 编辑

huangzihang 发表于 2022-8-1 16:09
看来AC的驱动拦截能力不如Furootkit（不是

360急救箱会用一些特殊技术绕拦截加载驱动，而且有些技术仅在实体机生效，但是一般的恶意软件也没有这些技术能做到绕拦截加载，所以AC足够对付大多数情况。

显示全部楼层 · 发表于 2022-8-1 20:18:35

急救箱的话，以前试过，所有驱动都被拦截的情况下，勾选强力模式，然后强力模式扫描差不多到600多个文件的时候过程中会有加载深度木马专杀，然后去PCH可以看到有一个红色的可疑驱动(看不到其他信息)，PCH也可以看到劫持系统驱动，这个时候就是强力模式驱动成功加载。

[交流探讨] KES的Application Control可以一定限度地禁止驱动加载