AVE引擎成功修复一例

leisong

360的AVE引擎主要用来检测并修复感染型病毒，今日样本2-11是被感染的一个样本，360扫描显示启发式引擎就是AVE引擎，下图为检测截图及修复前的大小



病毒处理默认为修复，修复后变小


下面的运行测试才是重点
删除AVE引擎，运行云QVM又报毒，


再将QVM删掉测试动作，360云主防直接杀掉衍生物


关掉360再测，MD记录动作如下：

2011-11-26 19:09:23    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\ttk\libai2-11.exe
命令行: "E:\TTK\libai2-11.exe"
规则: [应用程序]*

2011-11-26 19:09:26    创建文件    允许
进程: e:\ttk\libai2-11.exe
目标: C:\WINDOWS\svchost.exe
规则: [文件组]系统执行文件 -> [文件]c:\windows\*; *.exe

2011-11-26 19:09:40    创建新进程    允许
进程: e:\ttk\libai2-11.exe
目标: c:\windows\svchost.exe
命令行: "C:\WINDOWS\svchost.exe" "E:\TTK\libai2-11.exe"
规则: [应用程序]*

2011-11-26 19:09:47    修改文件    允许
进程: c:\windows\svchost.exe
目标: E:\TTK\libai2-11.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2011-11-26 19:09:49    创建新进程    允许
进程: c:\windows\svchost.exe
目标: e:\ttk\libai2-11.exe
命令行: "E:\TTK\libai2-11.exe"
规则: [应用程序]*

2011-11-26 19:10:13    创建注册表项    阻止
进程: c:\windows\system32\services.exe
目标: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PowerManager
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2011-11-26 19:10:33    修改文件    阻止并结束进程
进程: c:\windows\svchost.exe
目标: C:\Documents and Settings\Administrator\Application Data\360inst\360inst_89\360Inst_89.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

-----------------------
修复后的该样本，再次运行，已经没有不规矩的动作了，也没触发360的主防，变成一个正常的FLASH播放器，成功修复。

2011-11-26 19:10:57    创建新进程    允许
进程: c:\windows\explorer.exe
目标: e:\ttk\复件 libai2-11.exe
命令行: "E:\TTK\复件 libai2-11.exe"
规则: [应用程序]*

2011-11-26 19:11:05    修改注册表值    允许
进程: e:\ttk\复件 libai2-11.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ShockwaveFlash.ShockwaveFlash\shell\open\command
值: E:\TTK\复件 libai2-11.exe %1
规则: [注册表组]系统设置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Classes\*\command

貝殼

最終修好了不？

jefffire

修复一次不容易

xiaoicao886

AVE 发威了啊、

qianyuqx

是不是这样，AVE修复不完全，加上云主防彻底修复
不对，这样AVE修复是不是该按失败算？

leisong

qianyuqx 发表于 2011-11-26 21:03
是不是这样，AVE修复不完全，加上云主防彻底修复
不对，这样AVE修复是不是该按失败算？

修复后正常了，不再触发云主防。

junyangxie

如果用户关了主防，中了流行的病毒，ave还是很管用的。

FOXFFF

AVE终于出面了....

青鸾

给力啊

查理弗朗西斯

说真的，这是我第一次看到AVE生效
至少我知道AVE还是有用的