卡巴PDM

显示全部楼层 · 发表于 2023-7-18 19:45:22

不是吧卡巴最近变弱了？我好像没什么感觉

显示全部楼层 · 发表于 2023-7-18 20:19:09

pal家族发表于 2023-7-18 17:51
太专业了
靠你们这些大神多研究下吧！

https://bbs.kafan.cn/thread-2258198-1-1.html 虚拟机测试确定有勒索行为。

显示全部楼层 · 发表于 2023-7-18 21:59:01

GreatMOLA 发表于 2023-7-18 20:19
https://bbs.kafan.cn/thread-2258198-1-1.html 虚拟机测试确定有勒索行为。

我没说不是勒索啊

显示全部楼层 · 发表于 2023-7-18 22:12:01

pal家族发表于 2023-7-18 21:59
我没说不是勒索啊

不是，我的意思是我在虚拟机里跑出了勒索行为。

显示全部楼层 · 发表于 2023-7-18 22:16:40

GreatMOLA 发表于 2023-7-18 22:12
不是，我的意思是我在虚拟机里跑出了勒索行为。

。。。。。。字数补丁

显示全部楼层 · 发表于 2023-7-19 02:00:11

熊覃发表于 2023-7-18 15:19
之前误报也就算了，绝大部分场景都是提供被误报文件即可，现在不管干啥上来就要求tract，不像是为了解决 ...

深有同感。

跟他们反馈bug，绝无可能自己先简单测试或者复现一下，反而上来先让你生成一大堆东西传给它，不传就不管，我看了看log里收集的信息多到不可思议，就婉言谢绝了。每次联系都要把之前的问题一而再、再而三的重复，因为每次对接的客服都不是同一个人，而且什么都不懂，非常浪费时间。之前跟某硕打交道也有类似体验，反反复复让你生成log传给它，在不同的客服和技术部门之间来回打转，就是解决不了问题，结果呢，五六年过来了，那bug现在还在最新的固件里躺得好好的，更别说还有一些新的bug，从此一生黑。

说是24小时服务，其实非工作日你根本联系不上什么技术支持。整体体验非常差劲。前两天还弹窗了一个调查问卷，问如果把远程技术支持撤掉，会否影响Premium用户继续付费，看来是真快撑不下去了。

显示全部楼层 · 发表于 2023-7-19 04:28:02

本帖最后由 swizzer 于 2023-7-19 04:48 编辑

最近暑假高强度测试样本，目前体感PDM确实略有下滑 ~~甚至能明显对比出PDM<ATD (大雾~~

样本区最近的远控类/白加黑样本里，无外乎银狐, #Gh0stRAT和#CobaltStrike.(还有些游离在外的，比如https://bbs.kafan.cn/thread-2256990-1-1.html) 银狐初见绕过了卡巴PDM，但是后续很快就cover到了；#Gh0stRAT，我发的亚种里有一部分绕过了PDM，然后就是上述链接里的Keylogger，这个亚种也是一直绕过卡巴PDM...

至于那个勒索能绕过PDM，实在是匪夷所思

篡改MBR的那个是白加黑，绕过PDM倒是意料之中（侧面说明PDM并不会检测写入MBR的内容，否则很容易就能检测到）
不过至少PDM对CobaltStrike的检测很不错，不仅有MEM前缀的内存特征匹配，还有Shellcode检测...

显示全部楼层 · 发表于 2023-7-19 07:56:02

swizzer 发表于 2023-7-18 14:28
最近暑假高强度测试样本，目前体感PDM确实略有下滑 ~~甚至能明显对比出PDM~~

原来卡巴对于信任组的低级磁盘访问是直接开绿灯的么……

嗯记得以前都很少能碰到过卡巴SW的勒索样本……

显示全部楼层 · 发表于 2023-7-19 09:06:21

yexo 发表于 2023-7-19 02:00
深有同感。

跟他们反馈bug，绝无可能自己先简单测试或者复现一下，反而上来先让你生成一大堆东西传给 ...

相比之下，似乎奇安信的服务就做的不错

显示全部楼层 · 发表于 2023-7-19 09:54:58

Jerry.Lin 发表于 2023-7-19 07:56
原来卡巴对于信任组的低级磁盘访问是直接开绿灯的么……

嗯记得以前都很少能碰到过卡巴SW的勒 ...

我安装卡巴之后第一件事就是把低限制和高限制的规则加上
拒绝低级磁盘访问拒绝级文件系统访问
拒绝访问摄像头拒绝访问麦克风
拒绝访问账户设置拒绝关机
要不然总感觉不放心。。。。

[交流探讨] 卡巴PDM

评分