（多图）寄！Bitdefender 勒索防护大战Magniber 附EDR测评

呵呵大神001

灵感来源：Bitdefender EDR 攻防对抗 Lockbit 3.0 勒索病毒，全世界加密最快的勒索软件_企业安全讨论区_安全区 卡饭论坛 - 互助分享 - 大气谦和! (kafan.cn)




样本来源：#Magniber (2022-11-28)_病毒样本 分享&分析区_安全区 卡饭论坛 - 互助分享 - 大气谦和! (kafan.cn)

BD版本：GravityZone Business Security Enterprise
EDR ON
勒索防护 ON
勒索免疫 ON
实时保护 OFF
ATC OFF
HyperDetect OFF





客户端界面


测试前界面

测试后界面


BD 啊 BD 丢脸喽，寄喽
------
Bitdefender EDR 效果简评（个人评价）
70分（过及格线了）

根本原因分析就**没报到Magniber的msi文件上去，也没报到释放的文件上，一直在报文件管理器....

这里处理的还可以，揭示了Magniber通过以下方法加密文件，删除卷影备份和修改启动项
------
试试自己手动搜索吧，机器是指望不上了

调用cmd释放和启动payload

加密中（摊手）


修改启动项（典中典了）

删除卷影备份（日常操作）

----
结语：BD水大了，以上行为都报ATC了，但是显然这应该属于勒索防护应该干的活
EDR遥测能力很赞，和Mitre测试的结果差不多
根本原因分析能力欠佳，希望以后能拥有类似SentinelOne Storyline的技术来提高准确性，减少分析负担

P.S.这个样本在BD的沙箱中也跑不出行为，BD云沙箱赶紧支持win10吧@纽盖特

fzp070

感谢测试分享！
Magniber还是很强悍啊，BD也无法完全拦截。

呵呵大神001

fzp070 发表于 2022-12-1 22:54
感谢测试分享！
Magniber还是很强悍啊，BD也无法完全拦截。

开ATC和实时保护就行，BD防护层很多的，我是单测勒索防护层和EDR除了部分改mbr病毒以外BD的ATD和ATC基本上都能拦

fzp070

呵呵大神001 发表于 2022-12-1 22:58
开ATC和实时保护就行，BD防护层很多的，我是单测勒索防护层和EDR除了部分改mbr病毒以外BD的ATD和ATC基本 ...

能拦住那还行啊！
可能就是单功能不完善，所以才要多功能互补吧，只要最终拦截没遗漏就好。

呵呵大神001

fzp070 发表于 2022-12-1 23:04
能拦住那还行啊！
可能就是单功能不完善，所以才要多功能互补吧，只要最终拦截没遗漏就好。

零信任云沙箱+BD云+ATC+HyperDetect+EDR对付APT都可以了
虽然安全层多会牺牲一点性能和体验，但是对于追求安全和稳定性的企业是必须的
更不用说还有BD云沙箱里面的一堆稀奇古怪的无监督学习模型呢…..

kuroandsan

可惜bd在我这里已经更新不畅了，个人版的ATD也挺强的。

但还是防不住这勒索

呵呵大神001

kuroandsan 发表于 2022-12-1 23:27
可惜bd在我这里已经更新不畅了，个人版的ATD也挺强的。

但还是防不住这勒索

我是把防护全关了
ATC都检测到了，你开着atd应该能拦吧

kuroandsan

呵呵大神001 发表于 2022-12-1 23:33
我是把防护全关了
ATC都检测到了，你开着atd应该能拦吧

现在没试过了。我这里bdts完全更新不上了

野小子SAS

没有用过罗马的BD