Re: [情報] WanaCrypt0r勒索病毒：19款防毒主防測試

[YuQilin (神獸)]

http://weblog.av-comparatives.org/proactive-protection-wannacry-ransomware/
http://tinyurl.com/lbz658q

AV-C也做了21款防毒的測試,
防毒程式和病毒資料庫的版本鎖在5/12日,WannaCry出現之前,
也就是各家防毒的資料庫尚未有WannaCry的病毒定義,
僅靠特徵分析等主動式防禦來抵禦未知的病毒威脅.
在虛擬機裡斷網直接執行WannaCry的樣本測試,
但是未公布各家防毒的詳細設定.

測試結果:
Adaware Pro Security            Protected
Avast Free Antivirus            Protected
AVG Free Antivirus              Protected
AVIRA Antivirus Pro             Protected
Bitdefender Internet Security   Protected
BullGuard Internet Security     Protected
CrowdStrike Falcon Prevent      Protected
Emsisoft Anti-Malware           Protected
eScan Corporate 360             Protected
ESET Internet Security          Not protected
F-Secure SAFE                   Protected
Fortinet FortiClient            Not protected
Kaspersky Internet Security     Protected
McAfee Internet Security        Not protected
Microsoft Security Essentials   Not protected
Panda Free Antivirus            Protected
Seqrite Endpoint Security       Protected
Tencent PC Manager              Protected
Symantec Norton Security        Protected
Trend Micro Internet Security   Protected
VIPRE Advanced Security for HomeProtected

如上所述,這個測試是直接執行樣本測試,
沒有測試防火牆是否能夠抵禦SMB的漏洞入侵
(沒有SMB的漏洞入侵,就不會發生後續主動的WannaCry感染),
同時後來WannaCry有多個變種,本測試也沒有說明對變種的抵禦效果.

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 61.219.36.91
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1495068429.A.9AC.html
→ cys070: BD也沒在拿免費版測試，免費版防護就不全
推 Radiomir: 伊莉和這次都沒中的免費防毒軟體：Avast、Avira、Panda
→ sorrycar: 有漏洞 病毒進來 那天紅傘free完全沒反應 加密GG
→ cys070: 不要指望小紅傘免費版.....
→ cys070: 免費版只要功能閹掉太多都不推薦，因為真的也是看運氣了..
→ Radiomir: 再仔細看了一下, 這次Avira測的是付費pro版而不是free版
→ Radiomir: 那免費就剩Avast和Panda了...我2010年用Avira,也中過毒.
→ Radiomir: 自從那次中毒後才改用Avast, 到目前為止都沒有中過毒...
→ cys070: Panda Free其實對勒索很無力，查得到也是可能被加密
→ chiu0938: Panda弱很久了
→ waterblue85: 現在還在用小紅傘喔？可以更新一下了嗎？
→ kuc6811: 對ESET很失望 我還買了3年授權orz
→ sorrycar: 果斷買卡巴 不過用了這麼多年紅傘free 沒啥大問題
→ sorrycar: 哪知道這次對於已有漏洞 主動攻擊 我反應還比防毒快 冏
→ gwofeng: avast付費版跟免費版有甚麼差?
→ gwofeng: avast!免費板我實測是毫無反應 只是一條死魚
→ waterblue85: 請問Malwarebytes的測試結果如何呢
→ gwofeng: http://i.imgur.com/YqwDBVY.jpg  avast
→ gwofeng: http://i.imgur.com/dKlOSEj.jpg AVG
→ Radiomir: 樓上的測試只說明5/12日前的防毒軟體沒抓到,
→ Radiomir: 原po的測試是說明5/12日後的防毒軟體有抓到.
→ Radiomir: 也就是病毒實際發作後可以攔到的防毒軟體,比較有參考性.
→ Radiomir: 其實真有興趣, 可以找卡巴 2010 前的主防, 看是否抓的到
→ Radiomir: 然後就可以打廣告說, 主防領先其他同類產品7年以上技術~
推 gwofeng: 黑人問號.jpg
→ YuQilin: @Radiomir AV-C的測試是5/12日之前的防毒程式版本和病毒
→ YuQilin: 庫 WannaCry出現之前的庫 我第一段已經有強調說明過了
→ YuQilin: gwofeng測試的是3/28的版本 也許還不夠新
→ YuQilin: 所以和AV-C的結果不同 或者是免費版和付費版的差異
推 aegis43210: AVAST四月有大更新哦，3/28還是算舊版的
推 oh78wei: 病毒都發作了還抓不到的是廢物吧
→ gwofeng: http://i.imgur.com/K6C77Re.jpg
→ Arashiptt: 所以目前avast的風向到底是如何
推 APM99: 可以直接客觀的東西  不需看風向
→ Radiomir: 用刪去法...病毒5/12發作後還抓不到的防毒軟體,直接無視
→ gwofeng: http://i.imgur.com/yJ8zj45.jpg
→ gwofeng: Avira Free 15.0.26.48  5/4
推 abyz: 現在一線二線廠入庫的速度都快 病毒發作後沒多久大多能攔
→ abyz: 但等wannacry入病毒庫才能抓早來不及了 所以測發作後能攔的
→ abyz: 防毒沒太大意義吧 大多能攔 而比較慢的三線廠你一般也不用吧
→ gwofeng: 3A兄弟揮棒落空，接下來換測...門鈴響了，我去開門
→ Radiomir: 比較出名的：ESET NOD32、McAfee、Microsoft這次都摃龜.
推 mcho1831: 之前才從Avast跳ESET,現在一路看下來心情真的很= =
→ APM99: 樓上直接改跳微軟MSE阿
→ tsai82118: 可以測360TSE啊
→ tsai82118: 還有COMODO啊
→ YuQilin: comodo沒什麼好測的 就是自動入沙 然後就沒有然後了
推 shinkiro: 還是Comodo咖安心(可疑通通下去領沙盒)
能夠100%對抗目前所見的勒索病毒
就虛擬機、沙盒、加載內核驅動鎖權限的資料保護
如果不用這三個功能 例如不用應用程式控制保護資料夾的卡巴
仍然有被加密成功且無法回滾的例子
所以測試其實沒什麼意思 不管再強的防毒不開上面那三個功能
都不會有100%防護
※ 編輯: YuQilin (61.219.36.121), 05/18/2017 16:22:18
推 hototogisu: 想跳COMODO,可需要連線安裝,想請問離線安裝檔如何下載
→ hototogisu: 還有想請教,COMODO也有防毒,他的掃描壓縮檔功力如何?
推 notea: ESET QQ
推 aegis43210: 所以AVAST free被破啦
推 rainxo6p: ESET居然擋不住...還好沒買下去
推 DID5566: 麥咖啡真是笑死了
→ Akhenaten: Comodo Offline Installer  https://goo.gl/scWBvL
推 abram: 請教一下 大家推薦Comodo的Antivirus還是internet security
只推薦Internet Security或者Firewall
Antivirus沒有防火牆 Comodo的防毒效果並不好
能夠檔下所有病毒的原因是因為自動沙盒和防火牆
沒有防火牆就不需要用Comodo
安裝時會附帶安裝GeekBuddy和Dragon瀏覽器
可能沒什麼用處 可以取消不要安裝這二個元件
CCAV也不推薦 因為它的自動沙盒沒有完全虛擬化功能
防禦效果比較差
安裝後的預設值的保護效果還是有限 建議按照下面這個影片設定
https://www.youtube.com/watch?v=FoIu3Z2ImO8
讓未知程式全部進入沙盒運行
這樣設定一開始會造成很多平常使用的程式都自動入沙
可能會覺得很麻煩 但手動加入信任排除入沙 使用一段時間後
只有新的未知程式才會自動入沙 慢慢的就會變得比較上手好用
Comodo還有一個大問題是在一些系統上 經常會遺失自訂的規則
所以有些使用者用一用受不了最後還是放棄
雖然它真的很好用 但是因為這些原因所以不建議新手使用
※ 編輯: YuQilin (61.219.36.91), 05/19/2017 13:14:15
Avira官方表示 他們的雲端鑑識功能
二個月前就可以經由病毒的特徵攔截下WannaCry病毒
可是很多人測試 不論免費的Free版還是付費的Pro版
都沒有擋下WannaCry
Free
https://www.youtube.com/watch?v=BjCasJOghnE
Pro
https://www.youtube.com/watch?v=2rhpUGx3JFo
另一個Free測試
https://www.youtube.com/watch?v=t9DsD7tjtOg
由於WannaCry有很多變種 不知道Avira官方攔截的是哪一個
AV-C的測試也沒有說明使用的WannaCry樣本
可能是造成每個測試的結果不一樣的原因
※ 編輯: YuQilin (61.219.36.91), 05/19/2017 13:27:38
→ gwofeng: AV-C上的報表ESET被移除，廠商關切一下就搓掉了
→ gwofeng: 這樣的測試機構有什麼好信的
應該是被ESET關切了
移除ESET的理由是 它的防火牆從4月25日開始
就可以阻擋SMB的漏洞入侵
所以5月才爆發的WannaCry根本無法主動從漏洞進來
所以它的使用者是不會受到這次的攻擊而感染的
因此將ESET從測試列表中移除
不過這次測試的標題就是「主動防禦對抗WannaCry(非測試漏洞)」
有特別強調不是在測試漏洞 而是直接執行WannaCry的結果
所以因為可以阻擋漏洞而移除掉ESET的理由也很奇怪
其實是因為這類的測試容易誤導讀者 以為測試的結果就是真實使用的情況
以為測試沒過的防毒就會中毒 以為測試有過的防毒就不會中其他變種
因為這類測試的影響力(誤導)很大 所以廠商才急著用大人的力量搓掉吧
推 abramtw: 謝謝YU大的解釋和見解 學到一課
※ 編輯: YuQilin (61.219.36.91), 05/19/2017 14:46:12
推 stfang925: 推
推 JKGOOD: 有人覺得ESET ESS比EIS好用嗎？