LummaStealer 1X

显示全部楼层 · 发表于 2024-12-21 21:09:52

驭龙发表于 2024-12-21 20:49
按照那位卡巴官方论坛版主的说法，很有可能是多个KSN服务器以及CDN缓存导致的同步异常，但是否真的如此， ...

参考下
https://support.kaspersky.com/KESWin/11.9.0/zh-Hans/202507.htm

文档中列出的KSN服务，确实有不同的domain，从前缀看，负责的功能应该也是不同的。

显示全部楼层 · 发表于 2024-12-21 21:14:05

wywt123 发表于 2024-12-21 21:09
参考下
https://support.kaspersky.com/KESWin/11.9.0/zh-Hans/202507.htm

这些前缀并不是功能上的区分吧，比如说FILE那个，是文件信誉，并没有标识它是提供给监控还是给右键属性信誉KSN的，只是统一提供文件KSN信息的吧？

不过按理说，你楼上的说法确实是极有可能为了缓解云的压力导致从多个服务器获取缓存而不同步情况

显示全部楼层 · 发表于 2024-12-21 21:26:23

腾讯电脑管家 1X

显示全部楼层 · 发表于 2024-12-21 21:46:48

驭龙发表于 2024-12-21 21:14
这些前缀并不是功能上的区分吧，比如说FILE那个，是文件信誉，并没有标识它是提供给监控还是给右键属性信 ...

具体功能区分俺没研究过，官方也没有具体的说明

显示全部楼层 · 发表于 2024-12-21 21:49:09

wywt123 发表于 2024-12-21 21:46
具体功能区分俺没研究过，官方也没有具体的说明

所以我说你在9楼说的可能性，还是比较大的

显示全部楼层 · 发表于 2024-12-21 21:53:09

驭龙发表于 2024-12-21 20:49
按照那位卡巴官方论坛版主的说法，很有可能是多个KSN服务器以及CDN缓存导致的同步异常，但是否真的如此， ...

反正我想的是右键查询的服务器和UDS的服务器肯定不在一个服务器数据上，否则的话你没机会右键查询了，云拉黑的文件在本地直接就杀了，哪还有机会去查询呢？

显示全部楼层 · 发表于 2024-12-21 21:55:06

本帖最后由 kaba777 于 2024-12-22 00:12 编辑

驭龙发表于 2024-12-21 21:14
这些前缀并不是功能上的区分吧，比如说FILE那个，是文件信誉，并没有标识它是提供给监控还是给右键属性信 ...

刚刚对卡巴斯基抓包，抓包过程中卡巴斯基的avp.exe连接了3个域名，3个域名的触发条件没有明显特征，似乎是随机选择的，卡巴斯基可能会同时和多个服务器进行连接。右键查看ksn信誉、扫描和双击时均会在这几个域名中随机选择若干个建立连接。3个域名均解析到大量ip，其中2个域名国内大部分解析到新加坡（2个运营商），少数解析到北京，1个域名国内解析到俄罗斯莫斯科（2个运营商），详情见附件。

显示全部楼层 · 发表于 2024-12-21 21:57:11

kaba666 发表于 2024-12-21 21:53
反正我想的是右键查询的服务器和UDS的服务器肯定不在一个服务器数据上，否则的话你没机会右键查询了，云 ...

好像有时候真的是一个，毕竟有时候UDS是落地杀，基本上没机会右键查询，一般右键查询都是看可疑文件吧？不过大多数时候应该不是一个，不然右键查询KSN红了，为什么文件监控没杀，所以这有可能就是问题所在

显示全部楼层 · 发表于 2024-12-21 21:59:23

kaba777 发表于 2024-12-21 21:55
刚刚对卡巴斯基抓包，抓包过程中卡巴斯基的avp.exe连接了3个域名：
3个域名的使用没有明显特征，右键查 ...

话说，777和666是一个人吗？

如果是多个IP的话，那肯定不是同一个服务器了，那就应该是异常的原因，可能每个IP对应的服务器的缓存是有延迟的

显示全部楼层 · 发表于 2024-12-21 22:00:37

驭龙发表于 2024-12-21 21:57
好像有时候真的是一个，毕竟有时候UDS是落地杀，基本上没机会右键查询，一般右键查询都是看可疑文件吧？ ...

这问题要在官方英文论坛反馈，要问俄罗斯研发部门才能知道问题所在

[病毒样本] LummaStealer 1X

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分