2025年9月个人杀毒软件/反勒索工具防御勒索测试

LSPD

支持楼主一下，论坛里好久没有针对自制样本的评测了
我还是要吐槽eset，对未知病毒的防御全靠ML，现实世界里等到live gird上了信誉不知道多少用户感染了（这个信誉评分还不是很准确），本来有针对勒索病毒的检测能力，为了所谓低误报削个大半，不过要是后台能快速上云拉黑也不是不行，楼主可以测一下后续的拉黑反应情况
卡巴这回吃零蛋了，感觉自遭受制裁后实力有所退步，有云端化，靠拉黑，pdm轻型化的倾向，不知道是不是错觉

pal家族

那是HIPS自带文件夹保护功能。。。
小a也是。
没看到主防或者特征杀

pal家族

LSPD 发表于 2025-9-22 16:19
支持楼主一下，论坛里好久没有针对自制样本的评测了
我还是要吐槽eset，对未知病毒的防御全靠ML，现 ...

我怎么看很多拦截都是文件夹保护实现的

lsop1349987

emsi测试双击kill all，放行后再次报勒索，再次放行后文档文件被加密

1. 2025/9/22 16:36:52
   
2. 行为监控检测 可疑行为 "HiddenInstallation" 来自于 C:\Users\user000\Desktop\ransomware1.exe (SHA1: C5325754E70CF6EE671205F419DC14A33DAF6B64)
   
3. 
   
4. 2025/9/22 16:37:19
   
5. 行为监控检测 可疑行为 "HiddenInstallation" 来自于 C:\Users\user000\Desktop\ransomware2.exe (SHA1: AB232E028B26F858D016BE597E962E778E78C106)
   
6. 
   
7. 2025/9/22 16:37:44
   
8. 行为监控检测 可疑行为 "HiddenInstallation" 来自于 C:\Users\user000\Desktop\ransomware3.exe (SHA1: 00D7E099C67BD30A73166D387D19400006389EBC)
   
9. 
   
10. 2025/9/22 16:38:07
    
11. 行为监控检测 可疑行为 "HiddenInstallation" 来自于 C:\Users\user000\Desktop\ransomware4.exe (SHA1: 13C0097685E84BC40407012D2B621CC5F61973C5)
    
12. 
    
13. 2025/9/22 16:38:32
    
14. 行为监控检测 可疑行为 "HiddenInstallation" 来自于 C:\Users\user000\Desktop\ransomware5.exe (SHA1: 7D11B9CD98DAF6C9E6C51B780EC76334DAAFD5E8)

复制代码

另外，回滚功能还没研究明白，在一路放行被加密后目前只有样本3成功回滚，其余的似乎无法生效，即在edr处置选择rollback对于勒索本身进程的事件不生效，而对于例如3的pythonw.exe的回滚生效了。在其余样本攻击链中可明显记录到删除操作，虚拟机的备份文件夹里也可找到大小相应的备份文件，但却没有效果。

LSPD

pal家族 发表于 2025-9-22 16:40
我怎么看很多拦截都是文件夹保护实现的

得出结论:hips才是管用的

22222221

lsop1349987 发表于 2025-9-22 16:43
emsi测试双击kill all，放行后再次报勒索，再次放行后文档文件被加密

emsisoft这么强？

Fadouse

ES ran1 ran2 机学 kill
ran 3~5 静态miss
后续样本就不双击，因为sentinelone的回滚通杀（）

awsl10000次

卡巴实在是...
op似乎有点问题，传不上去文件，想看看云沙箱强度也看不着

lsop1349987

22222221 发表于 2025-9-22 18:09
emsisoft这么强？

相对其他家误报偏高一些，也可以说是高误报换来的

nicole

牢E短板如此，自制样本能不能拦截看运气