Re: [情報] WanaCrypt0r勒索病毒：19款防毒主防測試

[YuQilin (神獸)]

http://bbs.kafan.cn/thread-2089134-1-1.html

原作者重新測試了WanaCrypt0r的一個變種,結果產生了一些變化,
測試條件和上一次的測試一樣,
凍結防毒的版本和病毒資料庫的日期為2016/12/12,
五個月前的舊版本,測試「當時」防毒的主防是否能防禦WanaCrypt0r病毒.
以下節錄原文重新測試的結果:

================
重測中成功防禦的：

Kaspersky Internet Security（20161212）：同樣是加密後回滾成功

F-Secure Client Security（20161212）：DG繼續給力，在加密開始之前就攔截了

Cybereason RansomFree（20161231，v2.1.1.0）：防禦成功

Symantec Endpoint Protection（20161212）：這次SEP成功B殺（啟發殺），
                                          算是有一個交代了



重測中在部分場景能夠防禦的：

HitManPro.Alert（3.6.1 Build 574）：與原測試結果一致。
如果是桌面和我的文檔都放置私人文件，則能夠防禦，不過還是會彈出勒索GUI和替換桌面背景
如果是只有桌面有私人文件，則防禦失敗，無彈窗。



重測中防禦失敗的：

BitDefender Free（20161212）：這次是一聲不吭被加密……
AVG Free（20161212）：防禦失敗
==============



如果長期觀察樣本測試,會發現每一家的防毒都會有被過的時候,
換一個樣本,測試的結果可能就有差異.
即使這次重測依然成功防禦的防毒軟體,
在其他樣本也還是可以見到破功的例子.
即使這次重測結果防禦失敗的防毒軟體,
也不代表它就無法應付未來的其他變種.
「短時間」的「單一」測試會有侷限性,
我們很難依此判斷防毒對於整體未知威脅的防禦效果.

即使我們使用了長期測試下來,成績穩定優秀的防毒軟體,
也還是不能保證能夠100%防禦推陳出新的變種病毒,
即使防禦率高達99%,剛好中的就是那1%,
對於中毒的使用者來說,再高的防禦率也沒有意義.

最重要的還是使用者要具備資訊安全的觀念,
不管是開啟信件,文件,連結,應用都要隨保持警覺,
最重要的是有重大的安全性漏洞一定要記得修補,
還有勤做備份,才能真正遠離勒索病毒的威脅.

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 61.219.36.91
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1494948178.A.1A6.html
※ 編輯: YuQilin (61.219.36.91), 05/16/2017 23:25:47
→ gwofeng: RansomFree是放檔案陷阱式來對付勒索病毒那套吧
推 modkk: 正確觀念推
→ gwofeng: 不是有人測了說D槽不會保護，而且加密一些才吃到陷阱
RansomFree只能保護C槽的問題後續版本好像有修正了?
我沒關注所以不確定 原作者可能也沒有注意C槽以外是否有保護
因為RansomFree長期測試以來 防勒索的效果都不是很好
所以我不推薦使用RansomFree防勒索 只是在這個測試中
RansomFree「剛好」可以防止WanaCrypt0r的這個變種
所以我一直在強調測試有侷限性
我看到很多人用這篇測試的結果來判定防毒的效果
其實是不準確的 應該要詳細閱讀測試的說明和測試的目的
才能理解測試的結果該如何解讀 才能對這資訊做有效的運用
推 DINJIAPC: 彼特實測斷網下有問題
推 abram: 謝謝 剛剛把BD換成RansomFree了
RansomFree不是完整的防毒軟體 只能防勒索
不能取代BD全部的功能 建議最好不要換
推 abyz: BD不曉得是怎麼被過的 它的ATC不受斷網影響吧
→ abyz: 以前用是這樣 一陣子沒用了 不知道現在還是不是這樣
※ 編輯: YuQilin (61.219.36.91), 05/16/2017 23:52:28
推 shinkiro: 看來測一次不夠,要測幾次YA
→ chiu0938: F-Secure不是BD的徒弟嗎
→ gwofeng: F-Secure是芬蘭的公司吧
推 abyz: 卡巴的rollback是一監控到可疑動作時就備份 發現是惡意行為
→ abyz: 立刻幹掉並回復原來樣子 不過system watcher模組是怎麼判定
推 flora11883: F-secure感覺滿威的，有人想團購嗎
→ abyz: 哪些行為是可疑的來做備份無人知曉 只知道他們家的判定技術
→ abyz: 很威 少有誤判或失手 戰鬥民族的機密@@
推 Radiomir: 主防強弱與吃資源與否成正相關, 如何取得平衡, 自己拿
→ Radiomir: 捏...
推 abyz: F-Secure以前有OEM BD的引擎和病毒庫(現在不知) 加上自己本
→ abyz: 身技術也不弱 疊加起來所以一直很強悍 但以前有吃資源問題
→ gwofeng: 對吼，以前用過F-Secure不差，但就是多引擎技術超吃資源
→ gwofeng: 現在是效能過剩的時代應該沒差了
推 minamibaby: 我現在就是用F-Secure
推 sdbb: f-secure以前也用過卡巴的引擎
推 danny0830: 為何卡巴加密了還可以還原？
推 abyz: 其實現在幾間大廠的主防、啟發式偵測...等都朝輕量化在開發
→ abyz: 有多引擎多病毒庫的 融合的技術也都慢慢成熟 所以並沒想像中
→ abyz: 的吃資源了 連我家裡1.5Gram的XP舊機跑都不會很頓很頓了
→ abyz: 硬體效能過剩的時代 為安全起見 犧牲一點點效能裝這些是必要
推 abyz: d大 卡巴應該是發現有可疑動作就做備份了 才能發現是malware
→ abyz: 時一面幹掉一面rollback原備份 假如卡巴失手開始加密才動作
→ abyz: 那戰鬥民族再猛也不可能解RSA-2048還原原檔
→ abyz: 只不過他們是怎麼判斷發現可疑動作怎麼備份 到底是用了什麼
→ abyz: 黑科技 能少有loss或誤判做白工 國內外很多人都想知道 @@a
推 barlin: 能知道就可以出個防毒軟體對抗卡巴了XD
推 verdandy: 說實在現在瀏覽器很多分頁開多一點就比卡巴還吃資源了
推 TWeng: 不知道為什麼我用卡巴會藍畫面，就改用BD了
推 gamesame7711: 奇怪 賽門鐵克原種殺不掉 變種的反而殺掉了?
→ abyz: 卡巴的特點是很強大 但小bug不少 尤其新版剛出時 總會出現些
→ abyz: 讓人意想不到或無言的bug 通常等幾個fix版後再裝會比較穩
→ abyz: 卡巴充分反映出俄羅斯人的習性 威猛但粗獷
→ munsimli: 在思考一個問題，BD、卡巴、諾頓、FS、Emsisoft與趨勢的
→ munsimli: 主防都很強大，但是都有無法防禦的紀錄，是否這時有檔案
→ munsimli: 回復機制的功能變得相對重要? 另卡巴的檔案回復據說非常
→ munsimli: 厲害，是否也仍有漏掉無法回復的紀錄呢?
有回復的機制很有用 可是回復也會有失敗的時候
現在能100%對抗目前所見的勒索病毒的機制
只有虛擬機,沙盒,和加載內核驅動鎖權限的資料保護
像comodo,avast是用沙盒 BD,卡巴,趨勢則有資料保護
→ chiu0938: 以前對卡巴的印象是強到寧可錯殺一百 不可縱放一個
※ 編輯: YuQilin (61.219.36.91), 05/17/2017 08:21:57
推 MVagusta: 不管哪家防毒用病毒碼或檔案回復都會有失誤 斷網連網效
→ MVagusta: 果也不同 所以才要多種防護 像卡巴和趨勢有資料保護 趨
→ MVagusta: 勢可以設定保護資料夾(叫做勒索剋星...)來擋不安全的程
→ MVagusta: 式改裡頭的檔案
→ gwofeng: 趨勢的保護資料夾功能，當病毒動到該資料夾，會中斷病毒
→ gwofeng: 加密行為，並可終止病毒程式的常駐，但缺點就只能設一個
→ gwofeng: 資料夾來保護，希望改版後能設定複數資料夾
→ fatstan: 原本的結果是趨勢有提示通知但還是被加密了吧