Új hozzászólás Aktív témák

• #40042 mrszitya senior tag blattida #40022

  Új Válasz 2016-03-30 20:57:03 #40042

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  mrszitya

  senior tag

  válasz blattida #40022 üzenetére

  Nos, a tegnapi lockydat áttoltam egy két védelmen. Mint írtad is, maga a javascript-állomány nem közvetlenül kezdeményez a számunkra oly kedves fájl-letitkosítási tevékenységet, hanem felmegyen a netre vala és onnan tölte le és indítana vala el egy futtatható fájlocskát.

  Avast Pro Antivirus:

  1. teszt: a script rögtön nem is tetszik neki (other:malware.gen [trj]) /OK/
  2. teszt: kikapcsolt állapotában a scriptet elindítva, majd a védelmet visszakapcsolva viszont nem ugrott a közben már azonnal le is töltődött és aktiválódott futtatható állományra. Így már bukta volna a tesztet, bár kézi keresést kezdeményezve a futó .exe-n, végül arra is riasztott /x/
  3. teszt: sandboxban futtatás nem lehetséges, a scriptet nem lehet közvetlenül sandboxból futtatni (csak .exe fájlokat enged direkt módon) /x/

  Comodo Antivirus:

  1. teszt: a script sandboxból indul, így a letöltött futtatható fájl is onnan fut, ezért aztán a rendszerben nem tud kárt okozni. Az AV-modul egyébként néma marad, beleértve a felhőt is. /OK/
  (Külön a hips-et nem teszteltem)

  Comodo Cloud Antivirus:

  1. teszt: a script sandboxból indul, így a letöltött futtatható fájl is onnan fut, ezért aztán a rendszerben nem tud kárt okozni. A felhős AV-modul néma marad /OK/

  360 Total Security Essential:

  1. teszt: az AV-modul, méghozzá a saját fejlesztésű motor - bár a BD is be volt kapcsolva) jelez a letöltődő .exe állomány futásakor /OK/
  2. teszt: a quihoo sandboxból indítom a scriptet - kikapcsolt védelmi modulok mellett persze, de a kártevő nem jár sikerrel. Ellenben a háttérképet ki tudja cserélni a drága a sajátjára (újraindítás után már csak fekete háttér látszódik) /OK/

  Sandboxie:

  1. teszt: a scriptet sandboxieból indítva, a letöltött futtatható fájl is homokozóban fut, ezért aztán a rendszerben nem tud kárt okozni /OK/

  Malwarebytes Anti Ransomware:

  1. teszt: bár detektálja "Lockyt" amikor aktiválódik, de túl lassan végzi a feladatát így mire a karanténjába kerül, már le is kódolta a tesztrendszerben lévő pár képet és dokumentumot. Megjegyzés: az MBAR egyrészt béta, másrészt a tesztjét VB-ban végeztem lassú HDD-ről futtatva, így elképzelhető hogy normál rendszeren időben megállította volna a kódolást. Mindenesetre kell még rajta reszelni... /x/

  [ Szerkesztve ]

Új hozzászólás Aktív témák