ㄚ一

這些原本是要跟我最近會發的一篇卡8技術應用介紹裡文字敘述的一部分
這裡提前拿出來跟各位說明一下卡8的立體防禦運作方式及一些疑問

其實運作的道理非常簡單,在不考慮引擎的情況下
我們隨意運行一個從未運行過的一個程序
這時卡8首先會判斷該程序是否符合病毒特徵碼
如果是毒就直街進"不信任區",在這個區裡面的程序是沒有任何運行權限
如果沒有報毒,卡8會判斷是否有數位簽章,有數位簽章並且在白名單內的進"信任組"
沒有數位簽章的程序一般都進"低受限",最近卡巴官方更新ids後,有不少非惡意程序也會直接進"高受限組"
有些人可能會想到白名單是否有漏洞的地方,這邊我要說一下這個思考邏輯基本上是正確的
卡8如果處理一個已經被感染,或者是程序安裝包被綑綁流氓程序
就算是在"信任組"卡8還是會根據最優先級底層規則阻擋這些"信任組"程序惡意行為!

下面我實際運行一個在受信任區域的樣本,這個樣本是新小皓病毒
我直接執行,卡8由於已經將其入庫,所以會歸類進"非信任組"裡
我自己手動把它移到"信任組"內並且運行


執行樣本後直接歸類到非信任組



運行前自己移動到信任組



運行後提示受保護的註冊表試圖被竄改(這裡選擇ALLOW)



提示信任組程序出現可惜的木馬行為(這裡選擇ALLOW)



繼續提示試圖竄改註冊表(繼續ALLOW)



繼續提示試圖修改註冊表(還是ALLOW)



卡8還是希望我中斷它或隔離它(繼續ALLOW)



試圖調用firefox.exe,這裡之後我就開始阻止了
(因為我只需要證明前面的ALLOW不會造成其正常程序被感染)



卡8的LOG:

引用:

2008/5/24 W 08:17:44        Autorun                Denied: KLPrivileges/KLSelfStart        
2008/5/24 W 08:23:30        Modification        hklm\SOFTWARE\Classes\exefile\shell\open\command        Allowed: KLSystemData/KLStartupRegKeys/anyfile_open        
2008/5/24 W 08:23:30        Modification        hklm\SOFTWARE\Microsoft\Windows\CurrentVersion\Run        Allowed: KLSystemData/KLStartupRegKeys/Main_Run        
2008/5/24 W 08:23:57                C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\XIAOHAO.EXE        Detected: Trojan.generic        
2008/5/24 W 08:23:57                C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\XIAOHAO.EXE        Not completed: Trojan.generic        
2008/5/24 W 08:24:11        Modification        hkey_users\S-1-5-21-796845957-220523388-725345543-500\Software\Policies\Microsoft\Internet Explorer\Restrictions        Allowed: KLPrivateData/KLOtherSoft/KLInternetBrowsers/Internet Explorer/NoBrowserOptions        
2008/5/24 W 08:24:32        Modification        hklm\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL        Allowed: KLSystemData/KLSystemSecRegKeys/Policies_Explorer3        
2008/5/24 W 08:24:32        Modification        hkey_users\S-1-5-21-796845957-220523388-725345543-500\Software\Microsoft\Windows\CurrentVersion\Policies\System        Allowed: KLSystemData/KLSystemSecRegKeys/Policies_System        
2008/5/24 W 08:24:32        Modification        hkey_users\S-1-5-21-796845957-220523388-725345543-500\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced        Allowed: KLSystemData/KLSystemSecRegKeys/Policies_Explorer2        
2005/5/24 W 08:25:08                C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\XIAOHAO.EXE        Detected: Trojan.generic        
2005/5/24 W 08:25:25                C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\XIAOHAO.EXE        Detected: Trojan.generic        
2005/5/24 W 08:25:25                C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\XIAOHAO.EXE        Not completed: Trojan.generic        
2005/5/24 W 08:26:49        Use command line of browser        HTTP://%77%77%77%2E%31%35%38%64%6D%2E%63%6E/%62%64%2E%68%74%6D        Allowed: KLPrivileges/KLPermissionSystem/KLPermissionHiddenNetAct/KLUseBrowserCL
2005/5/24 W 08:26:10        Autorun                Denied: KLPrivileges/KLSelfStart        
2005/5/24 W 08:26:12        Autorun                Denied: KLPrivileges/KLSelfStart        
2005/5/24 W 08:26:16        Autorun                Denied: KLPrivileges/KLSelfStart        
2005/5/24 W 08:27:14        Autorun                Denied: KLPrivileges/KLSelfStart        
2005/5/24 W 08:27:58        Autorun                Denied: KLPrivileges/KLSelfStart        
2005/5/24 W 08:28:14        Autorun                Denied: KLPrivileges/KLSelfStart        
2005/5/24 W 08:28:22        Autorun                Denied: KLPrivileges/KLSelfStart        
2005/5/24 W 08:29:26        Autorun                Denied: KLPrivileges/KLSelfStart        

很多人以為卡8的智能是用group來體現,但事實上group只是方便我們這些"人"好管理
實際上不管是高低受限還是信任組裡的程序,還是依據行為分析判定,而不是單純只靠白名單
卡8還有一個相較於卡7一個非常大的改變,我以上的操作全部都是按"允許",但是我的系統並沒有被小皓感染
因為卡8把最終決定的權限自己保留住,只要碰觸到底層規則,一律自動阻止並用訊息提示



使用者的完全不會因為操作錯誤而被攻破,這個樣本在卡7如果按允許
系統是馬上就會被迅速感染的,但不表示卡7防不住,只要關鍵步驟阻止,這個樣本在卡7也防的住
同時我們也可以發現,卡巴官方其實是希望使用者盡量都用"自動處理模式"
"交互模式"一般是我自己不用也不推薦使用,因為"最終決定權"在卡8!
如果是要測試一些信任廠商推出的測試程序,才有需要使用"交互模式"
否則一般操作上使用自動處理不必擔心會有什麼問題!

[ 本帖最後由 ㄚ一 於 2008-5-24 10:35 編輯 ]

Bug

引用:

原帖由 ㄚ一 於 2008-5-24 08:57 發表
同時我們也可以發現,卡巴官方其實是希望使用者勁量都用"自動處理模式"

我也覺得這是 Kaspersky 2009 的一個亮點
和7.0比起來的確是這樣...

引用:

卡8還有一個相較於卡7一個非常大的改變,我以上的操作全部都是按"允許",但是我的系統並沒有被小皓感染
因為卡8把最終決定的權限自己保留住,只要碰觸到底層規則,一律自動阻止並用訊息提示

也就是因為自動處理所以不僅變得如Norton人性化
之前常常聽別人在旁邊聊天說卡巴超難用...
(是因為不會自行判斷 PDM 和 HIPS 吧)
卡巴斯基8.0我覺得對於官方而言是一個重要的版本
因為從我為7.0中文化時就有看到語言檔裡有虛擬鍵盤等其他功能的項目
但是當時並未做出來

ㄚ一

之前的虛擬鍵盤穩定性跟功能上有些問題
但可以修改註冊表打開這個功能

skywalker

謝謝ㄚ一大大的講解,這樣說來卡巴8就可以說是非常強 且非常(傻瓜)的使用了 ,就算是完全不懂防毒軟體的阿公阿婆也不用擔心因為全按(allow)讓電腦被感染了,自從用了kis8後,其它防軟都沒信心使用了說

tenniskao

對呀∼
這樣就如諾頓一樣人性化了...

也讓我們使用起來容易多了！

郭政勳

HIPS要智能化(前提也要把安全性提高)才能撈的到錢

夢之大地

這幾天使用KIS 2009感覺真的很人性化
期待正式版上市

integear

原來如此 .

uegajde

引用:

卡巴把最終決定的權限自己保留住,只要碰觸到底層規則,一律自動阻止並用訊息提示
使用者的完全不會因為操作錯誤而被攻破

這點亂強悍的
不過"只要碰觸到底層規則,一律自動阻止"這點看起來有點風險耶
在實際使用上會跟起他軟體衝突麼?

[ 本帖最後由 uegajde 於 2008-5-26 17:44 編輯 ]

ㄚ一

被阻止的一般都是危險的黑名單行為
例如操作MBR,這個行為我想一般程式不會有吧?

sxingbai

多谢楼主的测试和分析
不过虽然有图
但我仍然不太相信
信任程序怎么会弹出提升权限的提示
又怎么会全允许而系统并没被感染，除非没到那一步吧
所说的最底层规则又是什么，主动防御？
楼主用的哪个小浩，把样本一并放上来吧

ㄚ一

你的問題不就是我發這篇測試的原因...
我說的還不清楚嗎?

Roger

因為  小皓的  父進程  不在 trusted 組，
所以，根據繼承權限，
小皓  將不會是用 trusted 組 的規則，
而是 繼承  父進程的組！
----------
父進程  也拉進 trusted 組，卡八 才會不提示，直接被感染！

所以，不改規則 是不能的，卡八  默認  信任 Explorer.EXE

[ 本帖最後由 Roger 於 2008-5-26 23:29 編輯 ]

sxingbai

你没见楼主的第二个图
是把小浩放在信任组的
所以我才奇怪
哦
测试了再说话

sxingbai

不知道楼主是怎么测的
我把小浩移动到受信任组后
运行
卡8的程序过滤无任何提示，这也才是正常的
主动防御提示当然也正常
难道楼主从第三个图开始不是在受信任组测的？
或者楼主不是用exp等信任程序启动小浩的？
也或者.....
无他
只是在雨林木风看到楼主的转帖
觉得奇怪
所以跟过来
继续期待楼主对卡8的测评
目前我只知道它和shadowuser lns等严重冲突
似乎与opera也有冲突
还有一些不稳定因素

Roger

1.他的詢問框，就已經說明是 Explorer.EXE 執行的了！

2.真要試，就必須把 Explorer.EXE 也用到信任組

sxingbai

还是roger看图看得仔细
再回头看楼主的图
exp确实被他拉入低受限
晕
这样整篇文件还有啥意思
另外什么底层规则，在哪里？胡乱猜的吧
没被感染？这是因为没到时候就阻止了吧
但还没试过当主动防御警告时点击隔离
会不会把病毒之前所做的修改全部隔离？
有时间再试

ㄚ一

引用:

原帖由 sxingbai 於 2008-5-27 13:16 發表
不知道楼主是怎么测的
我把小浩移动到受信任组后
运行
卡8的程序过滤无任何提示，这也才是正常的
主动防御提示当然也正常
难道Ď ...

我怎麼測的我寫的很清楚了,卡8跟Opera沒有衝突問題
Opera不要用beta,有問題是Opera自己造成的

ㄚ一

引用:

原帖由 sxingbai 於 2008-5-27 16:08 發表
還是roger看圖看得仔細
再回頭看樓主的圖
exp確實被他拉入低受限
暈
這樣整篇文件還有啥意思
另外什麼底層規則，在哪裡？胡亂猜的吧
沒被感染？這是因為沒到時候就阻止了吧
但還沒試過當主動防禦警告時點擊隔離
會不會把病毒之前所做的修改全部隔離？
有時間再試

測試不管怎樣都不可能把explorer.exe拉到信任
這是常識,explorer不可以給太大的權限...
底層規則你當然看不到,我已經寫的很清楚了
最終操作全在卡8而不是用戶,關於底層規則
你自己去問問develop team,看看我是不是在亂說
你問了那麼多問題,說到底樣本你到底還是沒測..
根本沒實驗對我也可以有那麼多質疑??
樣本運行下去你不就什麼都知道了不是嗎?

skyboy1101

引用:

原帖由 sxingbai 於 2008-5-27 16:08 發表
还是roger看图看得仔细
再回头看楼主的图
exp确实被他拉入低受限
晕
这样整篇文件还有啥意思
另外什么底层规则，在哪里 ...

请问你是来这里讨论还是... 我可以说是这里对电脑知识最差劲,而且中文又差的一个,但我还知道甚么是礼貌 如果你在别的论坛也是用这样的方式来讨论问题的话,那你来AVPClub 是错误的选择了,我也相信AVPClub没有一个人接收你这种所为的讨论方式