卡巴对银狐的防御水平现在怎么样了

显示全部楼层 · 发表于 2024-12-7 20:49:51

驭龙发表于 2024-12-7 19:29
说起这个，忽然间想到，很多人忽略的MD，因为MD有一条ASR规则，可以很大概率降低BYOVD的加载，这ASR规则 ...

阻止滥用被利用的易受攻击的已签名驱动程序，这个本质上还是黑名单吧，个人认为只要是黑名单就不靠谱，虽然对使用旧驱动的样本有效，但是总会有新的漏洞驱动

显示全部楼层 · 发表于 2024-12-7 21:04:47

隔山打空气发表于 2024-12-7 20:40
其实有个更逆天的事情...某个已知的老BYOVD再次被签上了新的WHQL签名（

别的就不用说了，这一句话已经 ...

正规厂商反而处处受阻，卡在这上面，拿不到签名，，黑灰产反而想签就签

显示全部楼层 · 发表于 2024-12-7 21:05:13

驭龙发表于 2024-12-7 19:45
是的，除非是MDB以上级别的MD才有高强度自我保护，不然很容易被干掉。

如果是零容忍级别的MD，很大新 ...

企业版的产品覆盖面太小，估计国内大部分企业用的都是个人版或者国产EDR，讨论MDB这些国外的产品恐怕意义有限。另外印象里MD是不是有强制加白的问题？如果能被病毒直接加白，是不是也不能成功拦截。

显示全部楼层 · 发表于 2024-12-7 21:07:01

kaba777 发表于 2024-12-7 21:05
企业版的产品覆盖面太小，估计国内大部分企业用的都是个人版或者国产EDR，讨论MDB这些国外的产品恐怕意义 ...

MD企业版有篡改防护

显示全部楼层 · 发表于 2024-12-7 21:11:47

00006666 发表于 2024-12-7 21:07
MD企业版有篡改防护

所以现在除了快速拉黑，还有什么办法能有效对付银狐吗，行为分析、HIPS好像都不能起到很好的效果，个人想不到别的技术了

显示全部楼层 · 发表于 2024-12-7 21:13:50

本帖最后由啊松于 2024-12-7 21:15 编辑

比上次好了点，没有无限杀衍生物。加上冰盾也能拦大多数银狐

https://bbs.kafan.cn/thread-2276839-1-1.html

显示全部楼层 · 发表于 2024-12-7 21:15:02

本帖最后由 inhh1 于 2024-12-7 21:17 编辑

驭龙发表于 2024-12-7 19:01
关键是近期的银狐，谁杀都有难度，这银狐更新太快了，唉，感觉也就EDR才有可能防的好一点

bd企业版要手改策略不改策略完蛋
改了策略可以有效防止漏洞驱动，哪怕是他们重签的也可以防
exe的银狐就基本atd 沙盒（银狐家族触发沙盒分析器概率好像不高）或者执行前扫描和hyperdetect拉掉

然后国产epp普遍表现不好，我看小红书上很多奇安信天擎装死的，最后还是重装或者360急救箱解决的

显示全部楼层 · 发表于 2024-12-7 21:20:19

kaba777 发表于 2024-12-7 21:11
所以现在除了快速拉黑，还有什么办法能有效对付银狐吗，行为分析、HIPS好像都不能起到很好的效果，个人想 ...

不要随便点开搜索引擎推广链接，下载软件去官网下载，就能避免50％的银狐，另外还有50％的银狐来自办公软件、聊天软件、电子邮件

显示全部楼层 · 发表于 2024-12-7 21:22:28

inhh1 发表于 2024-12-7 21:15
bd企业版要手改策略不改策略完蛋
改了策略可以有效防止漏洞驱动，哪怕是他们重签的也可以防
exe的银狐 ...

明明是同一家的产品，奇安信，360和360TS对各种病毒的处理能力相差很大

不懂

显示全部楼层 · 发表于 2024-12-7 21:25:29

啊松发表于 2024-12-7 21:13
比上次好了点，没有无限杀衍生物。加上冰盾也能拦大多数银狐

https://bbs.kafan.cn/thread-2276839-1-1. ...

默认规则就可以吗？小白不太会设置规则

[交流探讨] 卡巴对银狐的防御水平现在怎么样了

评分