探究下瑞星行为防御回滚问题

江湖的fans

先来运行一个样本

来自http://bbs.kafan.cn/thread-1451121-1-1.html


运行后瑞星拦截


瑞星拦截病毒对cmd的调用，相关程序有病毒本体7......还有其衍生物wininit.exe.和zoqup.exe

然后我们看下DW的监控

DefenseWall rollback report file

文件: C:\Documents and Settings\Administrator\Local Settings\Temp\tmp24189240.bat 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:21:15

创建注册表键值: HKU\S-1-5-21-1292428093-492894223-682003330-500\Software\Microsoft\WAB\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:56
创建注册表键值: HKU\S-1-5-21-1292428093-492894223-682003330-500\Software\Microsoft\Internet Account Manager\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:54
创建注册表键值: HKU\S-1-5-21-1292428093-492894223-682003330-500\Software\Microsoft\Internet Explorer\Privacy\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:48
创建文件: C:\Documents and Settings\Administrator\Local Settings\Temp\netscape.dll 由 C:\Documents and Settings\Administrator\Local Settings\Temp\wininit.exe 在 01.19.2013  16:20:41
创建注册表键值: HKU\S-1-5-21-1292428093-492894223-682003330-500\Software\Microsoft\Selar\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:38
创建文件夹: C:\Documents and Settings\Administrator\Application Data\Iqem\ 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:38
创建文件: C:\Documents and Settings\Administrator\Application Data\Iqem\eguv.egy 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:38
创建文件夹: C:\Documents and Settings\Administrator\Application Data\Ihuffy\ 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:37
创建文件: C:\Documents and Settings\Administrator\Application Data\Ihuffy\ykub.duh 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:37
创建文件夹: C:\Documents and Settings\Administrator\Application Data\Xeyv\ 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:37
创建文件: C:\Documents and Settings\Administrator\Application Data\Xeyv\netscape.dll 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:37
创建文件: C:\Documents and Settings\Administrator\桌面\netscape.dll 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:28
创建注册表键值: HKCR\.key\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:27
创建注册表键值: HKU\S-1-5-21-1292428093-492894223-682003330-500\Software\ASProtect\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:27
创建注册表键值: HKCR\TypeLib\{F12CFC7C-F477-1FA3-353A-2AD56C1D1BF8}\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:27
创建注册表键值: HKCR\CLSID\{0F36B866-D423-41BC-D09C-A2821386D340}\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:27
创建

DW记录下的修改都已经生效并没有被回滚...........但是瑞星报的那两个衍生物被删除






下面我们关闭瑞星试试.........winwinit.exe出现在temp中










由于条件和技术的原因  无法得出较为正确的结论  不过可以看出来的是  似乎瑞星只对触发其行为防御的进程进行删除 至于其产生的dll或者其他文件，似乎无法起到回滚的作用


期待高手进行更详细的研究

江湖的fans

好吧，我伤心了，我这帖子就这么不招人待见

卡殿神威

瑞星没有回滚。费尔有。

jinglu

没有回滚？！

卡殿神威

jinglu 发表于 2013-1-19 18:03
没有回滚？11有。

v16主防明显比11弱，应该是把回滚取消了吧

宇中之神

10和11貌似有，2010肯定是有基本是从微点进化来的，微点是有回滚的。2012版主防精简了很多

苍白诺言

木有研究过，不过觉得瑞星V16的防御还是可以吧

hez2010

瑞星的回滚是没有，2011的与V16的回滚方式也一样，仅仅删除衍生物，至于注册表就需要配合系统加固功能使用，因为那个可以拦截注册表修改项

guobao13

江湖的fans 发表于 2013-1-19 17:57
好吧，我伤心了，我这帖子就这么不招人待见

版主还是会诺顿区吧，瑞星现在的研发进度实在是让人蛋疼

江湖的fans

hez2010 发表于 2013-1-19 19:34
瑞星的回滚是没有，2011的与V16的回滚方式也一样，仅仅删除衍生物，至于注册表就需要配合系统加固功能使用， ...

记得以前工程师说过 回滚是删除其他衍生物的 现在不知道怎么了