-
1 個附加檔案
Norton AntiBot被徹底的過了
原本只是單純的在測試Panda 2008的Truprevent功能
因為這個功能在Panda 2007 11.00.02(不含)後就失效了
我曾經回報過這個問題,所以我就試看看在2008上是否被修正了
其中一個樣本,就是之前很流行的黑色炸彈,在開啟Panda的已知病毒防護下系統被瓦解
並且再啟不能!
以下是賽門鐵克對黑色炸彈的資訊
[url]http://www.symantec.com/security_response/writeup.jsp?docid=2007-041519-4515-99&tabid=2[/url]
Panda死了以後,我就測試看看其他軟體,測了Cyberhawk Pro,還有Norton AntiBot跟F-Secure
其中F-Secure因為已經入庫,無法測試DeepGuard的防禦能力如何,所以以下只比較Cyberhawk Pro跟Norton AntiBot
首先這是病毒樣本跟正常程式放在一塊的樣子,可以清楚的看到圖示是正常的
[IMG]http://i126.photobucket.com/albums/p97/yanzilme/sample_1.png[/IMG]
直接運行樣本,檔案馬上就被感染了,同時系統上其他的*.exe也正迅速被感染中
[IMG]http://i126.photobucket.com/albums/p97/yanzilme/sample_2.png[/IMG]
桌面上也多出一個黑色炸彈的程式,執行後是作者對你勒索的宣言
[IMG]http://i126.photobucket.com/albums/p97/yanzilme/fuxk_1.png[/IMG]
打開Norton AntiBot他沒有任何反應,此時還可以明顯感覺的硬碟的I/O正在飛快的存取
而且在進程監視器中,black-day.exe亮了[color=Blue]兩個黃燈[/color],如果你選擇[color=Blue]終止進程[/color],黑色炸彈會重生
並且繼續感染你的系統,必須選擇[color=Blue]隔離[/color],感染的動作才總算停止了
[IMG]http://i126.photobucket.com/albums/p97/yanzilme/NAB_1.png[/IMG]
接下來就是Norton AntiBot正在做清理的動作,還蠻久的我等了大約有10分鐘以上
[IMG]http://i126.photobucket.com/albums/p97/yanzilme/nab_2.png[/IMG]
最後提示重新啟動系統
[IMG]http://i126.photobucket.com/albums/p97/yanzilme/nab_4.png[/IMG]
我在啟動之前看了一下狀態,顯示移除了993的malware(與圖片不同是因為我事先截圖的關係)
[IMG]http://i126.photobucket.com/albums/p97/yanzilme/nab_3.png[/IMG]
重開機後系統還是掛了...
[IMG]http://i126.photobucket.com/albums/p97/yanzilme/nab_dead.png[/IMG]
Norton AntiBot被打敗了...
其實我測試Norton AntiBot的樣本還不多,黑色炸彈雖然不如熊貓燒香或是威金那麼有名
但是沒有在第一時間擋住說真的還漫奇怪的,因為黑色炸彈並不算罕見,而且破壞力又高
然後我又測試了CyberHawk Pro
樣本一執行,隨既出現警告並阻止了進程的行為
[IMG]http://i126.photobucket.com/albums/p97/yanzilme/cyber_1.png[/IMG]
等級評定為非常危險
[IMG]http://i126.photobucket.com/albums/p97/yanzilme/cyber_2.png[/IMG]
告訴你這類攻擊普遍出現於蠕蟲以及木馬上,選項上我選擇[color=Blue]拒絕但不記住這個動作[/color]
[IMG]http://i126.photobucket.com/albums/p97/yanzilme/cyber_3.png[/IMG]
然後又執行了一次這個黑色炸彈,這回CyberHawk Pro挑出了紅色警告
而且沒有其他動作的選項給你按,按了[color=Blue]繼續[/color]後,黑色炸彈直接被刪除了
[IMG]http://i126.photobucket.com/albums/p97/yanzilme/cyber_4.png[/IMG]
刪除後你可以在Cyberhawk Pro的隔離區中發現它的芳蹤
[IMG]http://i126.photobucket.com/albums/p97/yanzilme/cyber_5.png[/IMG]
結論:
沒有一款軟體是無堅不摧的,在我長期測試HIPS的時間裡
如犀牛,SSM,KAV,F-Secure,GSS等被過也都有,但普遍來說機率很低
有些像KAV以及Panda又經常被我拿放大鏡來檢驗
何謂用放大鏡檢驗?就是我會把它們的緝毒引擎的即時防護關閉
然後單單測試PDM以及Truprevent功能,既使在這樣的情況下被過的機會還是非常的少
證明了他們的防護機制是經的起火煉的
Cyberhawk Pro最近這幾次的改版非常顯著,跟以往我剛使用的時候真的有蠻大的差別
首先系統資源的佔用降低,不脫開機的速度,測了不少樣本抵擋的成功率非常高,至少我測到目前還沒有被過
舊版的Cyberhawk Pro實在真的有些容易被過,我每天都可以遇到至少一隻可以過Cyberhawk Pro的樣本
不過現在改善很多了,如果不需要使用Rootkit Scan還有規則自定這些功能,Cyberhawk Free真的會是一個非常不錯的選擇!
-
回覆: Norton AntiBot被徹底的過了
-
回覆: Norton AntiBot被徹底的過了
密碼:1
還有請不要拿去害人,這顆炸彈一執行感染成功
系統大概就掛一半了
-
回覆: Norton AntiBot被徹底的過了
-
回覆: Norton AntiBot被徹底的過了
AntiBot針對的是Bot
黑色炸彈 W32.Whacker.A 是 Type: Virus, Worm, 不是 Bot
[url]http://www.symantec.com/security_response/writeup.jsp?docid=2007-041519-4515-99&tabid=2[/url]
Norton AntiBot
Protect your PC from being hijacked.
[url]http://www.symantec.com/home_homeoffice/products/features.jsp?pcid=is&pvid=nab1[/url]
* FeaturesIs compatible with other security products as an added layer of protection against bots and other emerging threats
* Actively monitors your PC 24x7, so it’s always protected
* Removes detected Web robots and other malicious software, even at deep levels of your Windows® system
* Protects against emerging variants of bots and other malicious software—without relying completely on protection updates
* Has minimal impact on your PC’s performance, so you can continue to work and play normally
* Detects malicious software at the deepest levels of your Windows® system in real time to defeat hidden attacks that other products can’t tackle
* Blocks PC hijacking attempts to protect your computer
* Stops and removes malicious bots before they can cause damage or steal personal information
* Adds an extra layer of protection against emerging threats, which helps stop “zero-day” attacks
-
正義和邪惡的對抗,邪惡的一方獲勝。
[img]http://img514.imageshack.us/img514/2706/virusqx9.png[/img]
[img]http://img514.imageshack.us/img514/6631/virustt7.png[/img]
-
回覆: Norton AntiBot被徹底的過了
[QUOTE=pcboy;976190]AntiBot針對的是Bot
黑色炸彈 W32.Whacker.A 是 Type: Virus, Worm, 不是 Bot
[url]http://www.symantec.com/security_response/writeup.jsp?docid=2007-041519-4515-99&tabid=2[/url]
Norton AntiBot
Protect your PC from being hijacked.
[url]http://www.symantec.com/home_homeoffice/products/features.jsp?pcid=is&pvid=nab1[/url]
* FeaturesIs compatible with other security products as an added layer of protection against bots and other emerging threats
* Actively monitors your PC 24x7, so it’s always protected
* Removes detected Web robots and other malicious software, even at deep levels of your Windows® system
* Protects against emerging variants of bots and other malicious software—without relying completely on protection updates
* Has minimal impact on your PC’s performance, so you can continue to work and play normally
* Detects malicious software at the deepest levels of your Windows® system in real time to defeat hidden attacks that other products can’t tackle
* Blocks PC hijacking attempts to protect your computer
* Stops and removes malicious bots before they can cause damage or steal personal information
* Adds an extra layer of protection against emerging threats, which helps stop “zero-day” attacks[/QUOTE]
這款本來就是用來防禦零天攻擊的智能化hips
只能防bot誰要買?
看一下這套軟體的原始廠商根本沒說只能防bot而防不了trojan跟worm
[url]http://www.sanasecurity.com/buy/prsc_learn.php[/url]
轉貼一則新聞
[QUOTE]近日賽門鐵克發佈了Norton AntiBot軟體的一個免費公開beta版本,它能夠透過分析系統中惡意軟體的行為來進行識別。
單機版的Norton AntiBot使用了來自Sana Security的現有技術和來自賽門鐵克SONAR行為掃描技術的若幹小插件,後者已經集成到Norton系列產品中。
賽門鐵克表示,Norton AntiBot是作為殺毒軟體的補充而不是替代品,並且它沒有使用傳統殺毒軟體所用的簽名技術。Norton AntiBot對程式的行為進行檢查,包括程式從哪裏運行,程式作了那些註冊表修改,會訪問那些網站等等。賽門鐵克表示這個產品不會和自己或競爭對手的殺毒產品衝突。
賽門鐵克表示,SONAR功能隻在進行病毒掃描過程中啟動,而Norton AntiBot則會一直駐留在後台來觀察所有程式的行為。[COLOR="Red"]雖然其名字強調特別針對“bot”惡意軟體,但它還會掃描其它所有可疑的程式行為,包括鍵盤記錄程式和其它可疑的活動。[/COLOR]
這個beta版可以從賽門鐵克的網站上免費下載。賽門鐵克計劃在7月左右推出AntiBot的最終版,但目前還沒有公佈這個產品的價格,但它表示有可能會在其現有的殺毒產品中加入同樣的功能。
[url]http://big5.pconline.com.cn/b5/www.pconline.com.cn/pcedu/softnews/cs/0706/1032588.html[/url][/QUOTE]
-
回覆: Norton AntiBot被徹底的過了
-
回覆: Norton AntiBot被徹底的過了
這個別用防毒軟體測
而是關防毒軟體用HIPS測
(但沒辦法還原或保護自己的人別測)
-
回覆: Norton AntiBot被徹底的過了
不要傻傻地用真實環境的Windows下去測,像我會先用VMWare或VirtualPC之類的軟體,建一個虛擬環境來測試,才不會真的害自已的檔案中毒。