作者YuQilin (神獸)
看板AntiVirus
標題Re: [情報] WanaCrypt0r勒索病毒：19款防毒主防測試
時間Tue May 16 23:22:56 2017
http://bbs.kafan.cn/thread-2089134-1-1.html
原作者重新測試了WanaCrypt0r的一個變種,結果產生了一些變化,
測試條件和上一次的測試一樣,
凍結防毒的版本和病毒資料庫的日期為2016/12/12,
五個月前的舊版本,測試「當時」防毒的主防是否能防禦WanaCrypt0r病毒.
以下節錄原文重新測試的結果:
================
重測中成功防禦的：
Kaspersky Internet Security（20161212）：同樣是加密後回滾成功
F-Secure Client Security（20161212）：DG繼續給力，在加密開始之前就攔截了
Cybereason RansomFree（20161231，v2.1.1.0）：防禦成功
Symantec Endpoint Protection（20161212）：這次SEP成功B殺（啟發殺），
算是有一個交代了
重測中在部分場景能夠防禦的：
HitManPro.Alert（3.6.1 Build 574）：與原測試結果一致。
如果是桌面和我的文檔都放置私人文件，則能夠防禦，不過還是會彈出勒索GUI和替換桌面背景
如果是只有桌面有私人文件，則防禦失敗，無彈窗。
重測中防禦失敗的：
BitDefender Free（20161212）：這次是一聲不吭被加密……
AVG Free（20161212）：防禦失敗
==============
如果長期觀察樣本測試,會發現每一家的防毒都會有被過的時候,
換一個樣本,測試的結果可能就有差異.
即使這次重測依然成功防禦的防毒軟體,
在其他樣本也還是可以見到破功的例子.
即使這次重測結果防禦失敗的防毒軟體,
也不代表它就無法應付未來的其他變種.
「短時間」的「單一」測試會有侷限性,
我們很難依此判斷防毒對於整體未知威脅的防禦效果.
即使我們使用了長期測試下來,成績穩定優秀的防毒軟體,
也還是不能保證能夠100%防禦推陳出新的變種病毒,
即使防禦率高達99%,剛好中的就是那1%,
對於中毒的使用者來說,再高的防禦率也沒有意義.
最重要的還是使用者要具備資訊安全的觀念,
不管是開啟信件,文件,連結,應用都要隨保持警覺,
最重要的是有重大的安全性漏洞一定要記得修補,
還有勤做備份,才能真正遠離勒索病毒的威脅.
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 61.219.36.91
※ 文章網址: https://webptt.com/m.aspx?n=bbs/AntiVirus/M.1494948178.A.1A6.html
※ 編輯: YuQilin (61.219.36.91), 05/16/2017 23:25:47
1F：→ gwofeng: RansomFree是放檔案陷阱式來對付勒索病毒那套吧 05/16 23:30
2F：推 modkk: 正確觀念推 05/16 23:32
3F：→ gwofeng: 不是有人測了說D槽不會保護，而且加密一些才吃到陷阱 05/16 23:32
RansomFree只能保護C槽的問題後續版本好像有修正了?
我沒關注所以不確定 原作者可能也沒有注意C槽以外是否有保護
因為RansomFree長期測試以來 防勒索的效果都不是很好
所以我不推薦使用RansomFree防勒索 只是在這個測試中
RansomFree「剛好」可以防止WanaCrypt0r的這個變種
所以我一直在強調測試有侷限性
我看到很多人用這篇測試的結果來判定防毒的效果
其實是不準確的 應該要詳細閱讀測試的說明和測試的目的
才能理解測試的結果該如何解讀 才能對這資訊做有效的運用
4F：推 DINJIAPC: 彼特實測斷網下有問題 05/16 23:34
5F：推 abram: 謝謝 剛剛把BD換成RansomFree了 05/16 23:40
RansomFree不是完整的防毒軟體 只能防勒索
不能取代BD全部的功能 建議最好不要換
6F：推 abyz: BD不曉得是怎麼被過的 它的ATC不受斷網影響吧 05/16 23:47
7F：→ abyz: 以前用是這樣 一陣子沒用了 不知道現在還是不是這樣 05/16 23:48
※ 編輯: YuQilin (61.219.36.91), 05/16/2017 23:52:28
8F：推 shinkiro: 看來測一次不夠,要測幾次YA 05/16 23:54
9F：→ chiu0938: F-Secure不是BD的徒弟嗎 05/16 23:54
10F：→ gwofeng: F-Secure是芬蘭的公司吧 05/16 23:55
11F：推 abyz: 卡巴的rollback是一監控到可疑動作時就備份 發現是惡意行為 05/17 00:08
12F：→ abyz: 立刻幹掉並回復原來樣子 不過system watcher模組是怎麼判定 05/17 00:09
13F：推 flora11883: F-secure感覺滿威的，有人想團購嗎 05/17 00:09
14F：→ abyz: 哪些行為是可疑的來做備份無人知曉 只知道他們家的判定技術 05/17 00:09
15F：→ abyz: 很威 少有誤判或失手 戰鬥民族的機密@@ 05/17 00:10
16F：推 Radiomir: 主防強弱與吃資源與否成正相關, 如何取得平衡, 自己拿 05/17 00:11
17F：→ Radiomir: 捏... 05/17 00:11
18F：推 abyz: F-Secure以前有OEM BD的引擎和病毒庫(現在不知) 加上自己本 05/17 00:15
19F：→ abyz: 身技術也不弱 疊加起來所以一直很強悍 但以前有吃資源問題 05/17 00:16
20F：→ gwofeng: 對吼，以前用過F-Secure不差，但就是多引擎技術超吃資源 05/17 00:17
21F：→ gwofeng: 現在是效能過剩的時代應該沒差了 05/17 00:18
22F：推 minamibaby: 我現在就是用F-Secure 05/17 00:24
23F：推 sdbb: f-secure以前也用過卡巴的引擎 05/17 00:33
24F：推 danny0830: 為何卡巴加密了還可以還原？ 05/17 00:34
25F：推 abyz: 其實現在幾間大廠的主防、啟發式偵測...等都朝輕量化在開發 05/17 00:35
26F：→ abyz: 有多引擎多病毒庫的 融合的技術也都慢慢成熟 所以並沒想像中 05/17 00:36
27F：→ abyz: 的吃資源了 連我家裡1.5Gram的XP舊機跑都不會很頓很頓了 05/17 00:36
28F：→ abyz: 硬體效能過剩的時代 為安全起見 犧牲一點點效能裝這些是必要 05/17 00:37
29F：推 abyz: d大 卡巴應該是發現有可疑動作就做備份了 才能發現是malware 05/17 01:11
30F：→ abyz: 時一面幹掉一面rollback原備份 假如卡巴失手開始加密才動作 05/17 01:11
31F：→ abyz: 那戰鬥民族再猛也不可能解RSA-2048還原原檔 05/17 01:12
32F：→ abyz: 只不過他們是怎麼判斷發現可疑動作怎麼備份 到底是用了什麼 05/17 01:19
33F：→ abyz: 黑科技 能少有loss或誤判做白工 國內外很多人都想知道 @@a 05/17 01:20
34F：推 barlin: 能知道就可以出個防毒軟體對抗卡巴了XD 05/17 01:44
35F：推 verdandy: 說實在現在瀏覽器很多分頁開多一點就比卡巴還吃資源了 05/17 02:11
36F：推 TWeng: 不知道為什麼我用卡巴會藍畫面，就改用BD了 05/17 02:56
37F：推 gamesame7711: 奇怪 賽門鐵克原種殺不掉 變種的反而殺掉了? 05/17 03:01
38F：→ abyz: 卡巴的特點是很強大 但小bug不少 尤其新版剛出時 總會出現些 05/17 04:29
39F：→ abyz: 讓人意想不到或無言的bug 通常等幾個fix版後再裝會比較穩 05/17 04:30
40F：→ abyz: 卡巴充分反映出俄羅斯人的習性 威猛但粗獷 05/17 04:31
41F：→ munsimli: 在思考一個問題，BD、卡巴、諾頓、FS、Emsisoft與趨勢的 05/17 07:15
42F：→ munsimli: 主防都很強大，但是都有無法防禦的紀錄，是否這時有檔案 05/17 07:16
43F：→ munsimli: 回復機制的功能變得相對重要? 另卡巴的檔案回復據說非常 05/17 07:17
44F：→ munsimli: 厲害，是否也仍有漏掉無法回復的紀錄呢? 05/17 07:18
有回復的機制很有用 可是回復也會有失敗的時候
現在能100%對抗目前所見的勒索病毒的機制
只有虛擬機,沙盒,和加載內核驅動鎖權限的資料保護
像comodo,avast是用沙盒 BD,卡巴,趨勢則有資料保護
45F：→ chiu0938: 以前對卡巴的印象是強到寧可錯殺一百 不可縱放一個 05/17 08:04
※ 編輯: YuQilin (61.219.36.91), 05/17/2017 08:21:57
46F：推 MVagusta: 不管哪家防毒用病毒碼或檔案回復都會有失誤 斷網連網效 05/17 15:38
47F：→ MVagusta: 果也不同 所以才要多種防護 像卡巴和趨勢有資料保護 趨 05/17 15:38
48F：→ MVagusta: 勢可以設定保護資料夾(叫做勒索剋星...)來擋不安全的程 05/17 15:38
49F：→ MVagusta: 式改裡頭的檔案 05/17 15:38
50F：→ gwofeng: 趨勢的保護資料夾功能，當病毒動到該資料夾，會中斷病毒 05/17 15:50
51F：→ gwofeng: 加密行為，並可終止病毒程式的常駐，但缺點就只能設一個 05/17 15:51
52F：→ gwofeng: 資料夾來保護，希望改版後能設定複數資料夾 05/17 15:53
53F：→ fatstan: 原本的結果是趨勢有提示通知但還是被加密了吧 05/17 21:27