科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道从PCSL说起:实测江民KV2009主动防御及自我保护

从PCSL说起:实测江民KV2009主动防御及自我保护

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

这些病毒现在早已入库了,在升级KV2009至最新病毒库后,这些样本都被KV09正确识别并清除了。以上图中的PLAY-MOVIE.exe为例,这是一个会释放木马文件的恶意软件,可以看到,病毒是在2008-10-31最终完成的。

作者:CNET科技资讯网【原创】 2009年1月4日

关键字: 江民 KV2009

  • 评论
  • 分享微博
  • 分享邮件

 

  近日,国内目前比较权威的反病毒软件测试实验室PCSL发布了08年11月份的测试结果(PCSL全称PC Security Lab, 是国际反病毒测试标准化组织AMTSO成员, 主要发起人是Jeffery Wu,目前已经有13家杀毒厂商参加测试, 每月发布一次测试结果)。

  测试结果如图所示,总共测试了1908个病毒样本,图示部分蓝色为静态测试的侦测数,红棕色为动态测试的侦测数。所谓静态测试,其实就是特征码扫描测试,而动态测试则是指在主动防御过程中发现的病毒。

从PCSL说起:实测江民KV2009主动防御及自我保护

  从上图不难发现,江民KV09的静态侦测率已经达到了90%以上(蓝色部分),再加上红色部分通过主动防御识别的部分,总侦测率达到了99.5%, 从而获得了PCSL当月颁出的五星奖章。

  看到这张图后,我对江民KV2009有效而又零误报的主动防御产生了浓厚的兴趣,觉得有必要好好研究一下。决定自己动手测试一下看看PCSL对KV2009的评测是否名至实归。

  首先,介绍一下我的测试环境:

  硬件环境:

  CPU: Intel Core 2 Duo E4500

  Memory : Kingston DDR2 667 1G + 2G

  Motherboard : Asus P5G-MX BIOS v0401

  HDD : Seagate Barracuda 7200.9 160G

  VGA : Intel GMA950

  软件环境:

  Host OS为Windows Vista Ultimate SP1 简体中文版

  应为要实际测试病毒,因此采用了虚拟机,而要测试主动防御,必须让病毒发作,

  因此对虚拟机内的系统也采取了保护措施。由于主要是主动防御测试,因此采用了比较早的病毒库(2008/10/14),没有更新到最新病毒库。

  虚拟机的两种配置如下:

  1.使用Microsoft Virtual PC 2007虚拟Windows XP SP2简体中文版,分配8G硬盘空间,512MB内存。并用影子系统2008单一影子模式保护操作系统。如下图:

从PCSL说起:实测江民KV2009主动防御及自我保护

  2.使用VMWare Workstation 6.5虚拟Windows Vista Home Premium简体中文版,分配16G硬盘空间,1G内存。并用Returnil保护操作系统。如下图:

从PCSL说起:实测江民KV2009主动防御及自我保护

    那接下来就是选择合适的样本了,

  样本方面,我选择了3个PCSL在其英文主站列出的malware list中的病毒,另外,还选取了一个破坏力比较强的,通过优盘传播的木马。

  其中,这3个PCSL的样本由于在11月份还是新病毒,因此绝大多数杀毒软件还没有入库。因此扫描是不会报毒的,这也为我们测试主动防御提供了便利。

  当然,这些病毒现在早已入库了,在升级KV2009至最新病毒库后,这些样本都被KV09正确识别并清除了。

从PCSL说起:实测江民KV2009主动防御及自我保护

  以上图中的PLAY-MOVIE.exe为例,这是一个会释放木马文件的恶意软件,可以看到,病毒是在2008-10-31最终完成的。

  通过将病毒送到分析网站,并通过其命名来回查入库日期,可以发现,F-Secure 是在08-11-02 入库的,江民KV2009是在08-11-04入库的,而Sunbelt是在08-11-06入库的。

从PCSL说起:实测江民KV2009主动防御及自我保护

从PCSL说起:实测江民KV2009主动防御及自我保护

  大家可以看到,在病毒文件被病毒作者制作出来之后,到病毒文件的特征码真正被添加到杀毒软件的病毒之间,有几天的“真空期”,在这几天内,对于这些未知病毒,一般的基于特征码扫描的杀毒软件(on-demand scanner)是无能为力的,但是如果安全软件带有主动防御,能够监控病毒文件的高危行为,那么防住这些恶意软件还是有机会的。

  下面就具体看看KV2009对于这些在当时来说,还是“未知病毒”的防御情况是怎样的吧:这里值得一提的是,对于主动防御的设置,是全部打开,监控模式采用智能模式。而由于病毒基本都没有入库,因此监控的开启和关闭也就并不重要了。

  先看一下之前提到的PLAY-MOVIE.exe,运行后,该文件做了很多动作,例如创建注册表键和网络连接,这些都被KV2009的主动防御发现,另外,还释放了若干个恶意文件,这些都被KV2009主防的FD(File Defence 文件防御) 监控到,而且四个盾牌也显示这是一个高度可疑的高危文件了。

  显然,主动防御能够识别并帮助用户阻止这个未知的木马。

从PCSL说起:实测江民KV2009主动防御及自我保护

    再来看下一个恶意程序,RPT.exe。

  这个程序运行后,会启动IE,并上网去下载一个木马程序到本地。是一个典型的Trojan-Downloader的行为。这点也被KV的主动防御抓住了。如下图:

从PCSL说起:实测江民KV2009主动防御及自我保护

    再来看另外一个恶意软件,IAInstall.exe。

  该程序运行后,会在注册表创建一个键值,使得自己能够开机自动运行。(被KV09的RD – Registry Defence 注册表防护侦测到), 并释放file.exe和InternetAntivirsProtect.exe,伪装成杀毒软件。

  通过下面在虚拟机中Windows XP和Windows Vista下的截图,可以更清晰的了解该病毒的行为:

从PCSL说起:实测江民KV2009主动防御及自我保护

从PCSL说起:实测江民KV2009主动防御及自我保护

  再接下来,为了进一步验证江民KV2009的主动防御,同时测试监控失效(被用户误操作关闭等)的情况下,对病毒的防御。

  我又将江民的监控关闭,打开主动防御,看看江民能不能防住。

  我选取了一个同事优盘上的已知病毒。这是一个木马下载器,江民的命名是TrojanDownloader.VB.jxd,该病毒主要通过优盘传播,样本创建于2008年4月底,08年5月初入库。运行该病毒后,病毒会释放文件到系统文件夹,并且,如果在中毒的机器上用暴风影音(StormCodec)运行媒体文件,则会生成一个和该媒体文件同名的exe文件。同时,改写优盘的分区表,将优盘空间占满。

  结果,KV2009在WinXP和Vista下都成功拦截住了这个病毒的恶意行为:

从PCSL说起:实测江民KV2009主动防御及自我保护

从PCSL说起:实测江民KV2009主动防御及自我保护

  如同我之前所说的,现在新病毒出现的速度越来越快,而且主要通过互联网快速传播,从新病毒出现在互联网上,到安全软件厂商拿到样本,完成分析和入库,是有一段时间的。对于在此期间的保护,主动防御就十分必要了。而且随着现在0day漏洞越来越多,恶意代码层出不穷,主动防御的必要性也就越来越高了。

  从我之前分析的几个样本,大家也可以发现,如今的病毒相比前几年来说,种类上有九成以上是木马,还有少量蠕虫。这些木马的主要目的是窃取账号,从而牟取利益。我在平时浏览网页的时候,有时也会遇到网页被挂马。因此,主动防御对于保护个人电脑用户的信息安全也就显得尤为重要了。从实际的是用来看,KV的主动防御的粒度在国内杀毒软件里面是最完善的,作为一款杀毒软件,其主动防御的完善性,相比一些专业的HIPS,都毫不逊色。甚至可以用作分析病毒行为的工具了。KV的主动防御有着完善的FD(File Defence)/RD(Registry Defence)和AD(Application Defence),如果防火墙能集成更完善的ND(Network Defence)的话就完美了。

  另外,我还简单测试了一下KV2009的自我保护能力。

  其实,从熊猫烧香或更早一些的病毒开始,从它们反汇编出来的代码里面就可以看出,它们增加了对杀毒软件的对抗,一旦运行,会尝试关闭带有一些关键词的进程,在这种情况下,杀毒软件的自我保护就显得比较重要的,而在这点上,江民又是国内厂商中非常突出的,而且连微软MVP的pjf写的IceSword也不能结束其进程,这在国际上,能做到的安全软件厂商也不超过三家吧。

  先尝试用进程管理器结束KV2009的两个进程KVMonXP.kxp(监控)和KVSrvXP.exe(服务),结束失败。

从PCSL说起:实测江民KV2009主动防御及自我保护

然后,使用传说中的IceSword,无法结束。

从PCSL说起:实测江民KV2009主动防御及自我保护

  再用APT,这同样是一个系统权限很高的工具,直接用最底层的Kernel Kill,还是无法结束。

从PCSL说起:实测江民KV2009主动防御及自我保护

  最后,再尝试用微软MVP兼员工的Mark Russinovich编写的PsKill来结束KV09的相关进程,同样以失败告终。

从PCSL说起:实测江民KV2009主动防御及自我保护

  由此可见,KV2009具有强大的自我保护能力。即使是对Windows极端熟悉的开发人员编写的工具都无法结束KV的进程,相信病毒作者肯定也无能为力了。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章