实战测试一下病毒库过期两年的kes的防御力

显示全部楼层 · 发表于 2023-7-22 22:38:43

本帖最后由 dwsa13 于 2023-7-23 09:45 编辑

测试环境断网，VMware win10 x64， KES 11.6.0.394卡巴的数据库发布日期: 2021/2/27 5:22:00

一共8个近期论坛收集的病毒
1号勒索病毒双击杀
名称: HEUR:Trojan.Win32.Generic
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: SSEAR.exe

2号后门EasyN2N_FoxDiceCN_3.12
卡巴miss 但是病毒运行闪退，对系统不构成影响
3号礼物。exe
卡巴miss 重启后kill
4号 everything病毒
卡巴miss 病毒运行后产生2个exe后台疯狂吃cpu，之后闪退，被卡巴拦截了。

5号 kiner病毒卡巴miss，病毒未生效

6号 st.js
卡巴检测杀
木马程序
名称: HEUR:Trojan-Downloader.Script.Generic
威胁级别: 高
对象路径: C:\Users\kk\Desktop\st
对象名称: st.js
原因: 专家分析
数据库发布日期: 2021/2/27 5:22:00

7号 xw.bat
运行十秒后卡巴行为检测，木马被终止，对系统不造成破坏
PDM:Trojan.Win32.Generic
卡巴之后删除注册表，并完成了回滚，很棒

8某个号称在野很久的木马
卡巴miss 病毒不生效，运行后直接闪退

之后测试一个样本包：

病毒样本测试包 17X_病毒样本分享&分析区_安全区卡饭论坛 - 互助分享 - 大气谦和! (kafan.cn)
测试结果：

解压出来落地杀3个，其余14个miss但双击后没能运行起来。。。都被卡巴防住了
例如：对应用程序资源的操作被自我防御阻止;保护;千牛工作台

卡巴主防和自保还是厉害，实测两年后的病毒能防住

之后联网更新，卡巴扫出很多毒，进入高级清除模式，一重启就全部清了，系统完好无损

显示全部楼层 · 发表于 2023-7-22 22:57:36

有些帖子里面还有些二伙，说KES防御能力不行的，那就看看此帖吧。

显示全部楼层 · 发表于 2023-7-22 23:03:25

山河也陶醉发表于 2023-7-22 22:57
有些帖子里面还有些二伙，说KES防御能力不行的，那就看看此帖吧。

是的，过期两年的库，实测20多个都防住了，系统没有任何损坏，卡巴本身也没有被破坏。
更新卡巴以后高级清除模式全部kill。运行dism检测系统映像无损坏

显示全部楼层 · 发表于 2023-7-22 23:06:49

很多病毒卡巴没反应不代表miss了，因为某些只有特定环境才能运行，库不更新，你病毒又跑不起来，特征和行为上看都是无害的，卡巴当然没反应。我认为只要最后鉴定系统运行完好无损，文件资料完好，就代表成功

显示全部楼层 · 发表于 2023-7-23 00:03:38

dwsa13 发表于 2023-7-22 23:06
很多病毒卡巴没反应不代表miss了，因为某些只有特定环境才能运行，库不更新，你病毒又跑不起来，特征和行为 ...

那这种病毒应该从测试中剔除。

显示全部楼层 · 发表于 2023-7-23 00:37:53

智量应该也差不多吧

显示全部楼层 · 发表于 2023-7-23 01:58:44

dwsa13 发表于 2023-7-22 23:06
很多病毒卡巴没反应不代表miss了，因为某些只有特定环境才能运行，库不更新，你病毒又跑不起来，特征和行为 ...

这种是无效样本，应该从测试中剔除。很多样本几小时就不下发shellcode了，这种拿去测一点用处都没有。

显示全部楼层 · 发表于 2023-7-23 02:59:25

本帖最后由 Hibike 于 2023-7-23 03:03 编辑

如果系统完好但是数据失窃，这种防御失败如何推断呢？不是系统无损且本地文件完好就意味着防御成功的。

另外，我很想看看那17x的完整日志，什么叫

双击后没能运行起来。。。都被卡巴防住了

首先，贴出来那一行是自我保护的拦截，跟防御成功未必有因果关系；其次，断网测试Backdoor/Downloader，实在是不明所以的行为——"没能运行起来，都被卡巴防住"，与其说是卡巴防御成功，我更愿意相信是断网导致选取的这一系列样本无法展开后续行为(C2都连不上还说啥。。)——除非完整日志能证明卡巴确实阻断了恶意行为。

实在是槽点过多了...

显示全部楼层 · 发表于 2023-7-23 03:50:11

卡巴要是能像nod32一样严格企鹅的流氓就好了

显示全部楼层 · 发表于 2023-7-23 08:37:16

其实用卡巴就是看中它的主防

显示全部楼层 · 发表于 2023-7-23 09:13:48

断网测backdoor？

显示全部楼层 · 发表于 2023-7-23 09:42:01

神龟Turmi 发表于 2023-7-23 09:13
断网测backdoor？

我水平有限，没法深入测试。原本打算看看过期两年KES能不能自保和防止系统被破坏。没有考虑可能有木马和后门导致数据泄露

显示全部楼层 · 发表于 2023-7-23 10:45:33

样本区就是很好的例子.SW最近战绩大不如ATD

以前还能和ATD扳一下手腕来着.
SW该更新更新规则了

显示全部楼层 · 发表于 2023-7-23 13:03:44

发呆的阿狸~ 发表于 2023-7-23 10:45
样本区就是很好的例子.SW最近战绩大不如ATD以前还能和ATD扳一下手腕来着.
SW该更新更新规则了

SW是啥

显示全部楼层 · 发表于 2023-7-23 13:15:15

Hibike 发表于 2023-7-23 02:59
如果系统完好但是数据失窃，这种防御失败如何推断呢？不是系统无损且本地文件完好就意味着防御成功的。

...

其实装了卡巴以后，有的样本根本跑不起来。卡巴有权限机制的，陌生程序跑不动的。实测过一些DIY软件，开了卡巴跑不动，但是不报毒。必须关闭卡巴才能跑。

显示全部楼层 · 发表于 2023-7-23 13:29:21

我说话比较直白哈
我觉得你是高级黑

显示全部楼层 · 发表于 2023-7-23 14:10:31

pal家族发表于 2023-7-23 13:29
我说话比较直白哈
我觉得你是高级黑

哈哈，亮了。

显示全部楼层 · 发表于 2023-7-23 16:26:24

pal家族发表于 2023-7-23 13:29
我说话比较直白哈
我觉得你是高级黑

那我委婉一点，我觉得这种测试方法就好像疫情隔离期间在家里测窗外车流量，发现没有车于是鉴定为绿色低碳出行100%。

显示全部楼层 · 发表于 2023-7-23 16:30:45

1、卡巴主防和机学挺厉害的
2、不少病毒检测到虚拟机之后就停止运行了，和直接在实体机上测试结果有很大不同

显示全部楼层 · 发表于 2023-7-23 16:51:44

zxcbenny 发表于 2023-7-23 13:03
SW是啥

卡巴的主防

[交流探讨] 实战测试一下病毒库过期两年的kes的防御力

评分

评分

评分

评分

评分