实战测试一下病毒库过期两年的kes的防御力

dwsa13

测试环境断网，VMware win10 x64， KES 11.6.0.394卡巴的数据库发布日期: 2021/2/27 5:22:00


一共8个近期论坛收集的病毒
1号勒索病毒 双击杀
名称: HEUR:Trojan.Win32.Generic
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: SSEAR.exe


2号后门EasyN2N_FoxDiceCN_3.12
卡巴miss 但是病毒运行闪退，对系统不构成影响
3号 礼物。exe
卡巴miss 重启后kill
4号 everything病毒
卡巴miss 病毒运行后产生2个exe后台疯狂吃cpu，之后闪退，被卡巴拦截了。

5号 kiner病毒 卡巴miss，病毒未生效

6号 st.js
卡巴检测杀
木马程序
名称: HEUR:Trojan-Downloader.Script.Generic
威胁级别: 高
对象路径: C:\Users\kk\Desktop\st
对象名称: st.js
原因: 专家分析
数据库发布日期: 2021/2/27 5:22:00

7号 xw.bat
运行十秒后卡巴行为检测，木马被终止，对系统不造成破坏
PDM:Trojan.Win32.Generic
卡巴之后删除注册表，并完成了回滚，很棒

8某个号称在野很久的木马
卡巴miss 病毒不生效，运行后直接闪退

之后测试一个样本包：

病毒样本测试包 17X_病毒样本 分享&分析区_安全区 卡饭论坛 - 互助分享 - 大气谦和! (kafan.cn)
测试结果：

解压出来落地杀3个，其余14个miss但双击后没能运行起来。。。都被卡巴防住了
例如：对应用程序资源的操作被自我防御阻止;保护;千牛工作台

卡巴主防和自保还是厉害，实测两年后的病毒能防住

之后联网更新，卡巴扫出很多毒，进入高级清除模式，一重启就全部清了，系统完好无损

山河也陶醉

有些帖子里面还有些二伙，说KES防御能力不行的，那就看看此帖吧。

dwsa13

山河也陶醉 发表于 2023-7-22 22:57
有些帖子里面还有些二伙，说KES防御能力不行的，那就看看此帖吧。

是的，过期两年的库，实测20多个都防住了，系统没有任何损坏，卡巴本身也没有被破坏。
更新卡巴以后高级清除模式全部kill。运行dism检测系统映像无损坏

dwsa13

很多病毒卡巴没反应不代表miss了，因为某些只有特定环境才能运行，库不更新，你病毒又跑不起来，特征和行为上看都是无害的，卡巴当然没反应。我认为只要最后鉴定系统运行完好无损，文件资料完好，就代表成功

bbszy

dwsa13 发表于 2023-7-22 23:06
很多病毒卡巴没反应不代表miss了，因为某些只有特定环境才能运行，库不更新，你病毒又跑不起来，特征和行为 ...

那这种病毒应该从测试中剔除。

杰伦Ｊ时代

智量应该也差不多吧

AEht

dwsa13 发表于 2023-7-22 23:06
很多病毒卡巴没反应不代表miss了，因为某些只有特定环境才能运行，库不更新，你病毒又跑不起来，特征和行为 ...

这种是无效样本，应该从测试中剔除。很多样本几小时就不下发shellcode了，这种拿去测一点用处都没有。

Hibike

如果系统完好但是数据失窃，这种防御失败如何推断呢？不是系统无损且本地文件完好就意味着防御成功的。

另外，我很想看看那17x的完整日志，什么叫

双击后没能运行起来。。。都被卡巴防住了

首先，贴出来那一行是自我保护的拦截，跟防御成功未必有因果关系；其次，断网测试Backdoor/Downloader，实在是不明所以的行为——"没能运行起来，都被卡巴防住"，与其说是卡巴防御成功，我更愿意相信是断网导致选取的这一系列样本无法展开后续行为(C2都连不上还说啥。。)——除非完整日志能证明卡巴确实阻断了恶意行为。

实在是槽点过多了...

wohenhao2017

卡巴要是能像nod32一样严格企鹅的流氓就好了

玻璃钢耗子

其实用卡巴就是看中它的主防