查看: 7661|回复: 41
收起左侧

[瑞星] 探究下瑞星行为防御回滚问题

  [复制链接]
江湖的fans
发表于 2013-1-19 16:51:14 | 显示全部楼层 |阅读模式
先来运行一个样本

来自http://bbs.kafan.cn/thread-1451121-1-1.html


运行后瑞星拦截


瑞星拦截病毒对cmd的调用,相关程序有病毒本体7......还有其衍生物wininit.exe.和zoqup.exe

然后我们看下DW的监控

DefenseWall rollback report file

文件: C:\Documents and Settings\Administrator\Local Settings\Temp\tmp24189240.bat 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:21:15

创建注册表键值: HKU\S-1-5-21-1292428093-492894223-682003330-500\Software\Microsoft\WAB\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:56
创建注册表键值: HKU\S-1-5-21-1292428093-492894223-682003330-500\Software\Microsoft\Internet Account Manager\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:54
创建注册表键值: HKU\S-1-5-21-1292428093-492894223-682003330-500\Software\Microsoft\Internet Explorer\Privacy\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:48
创建文件: C:\Documents and Settings\Administrator\Local Settings\Temp\netscape.dll 由 C:\Documents and Settings\Administrator\Local Settings\Temp\wininit.exe 在 01.19.2013  16:20:41
创建注册表键值: HKU\S-1-5-21-1292428093-492894223-682003330-500\Software\Microsoft\Selar\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:38
创建文件夹: C:\Documents and Settings\Administrator\Application Data\Iqem\ 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:38
创建文件: C:\Documents and Settings\Administrator\Application Data\Iqem\eguv.egy 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:38
创建文件夹: C:\Documents and Settings\Administrator\Application Data\Ihuffy\ 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:37
创建文件: C:\Documents and Settings\Administrator\Application Data\Ihuffy\ykub.duh 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:37
创建文件夹: C:\Documents and Settings\Administrator\Application Data\Xeyv\ 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:37
创建文件: C:\Documents and Settings\Administrator\Application Data\Xeyv\netscape.dll 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:37
创建文件: C:\Documents and Settings\Administrator\桌面\netscape.dll 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:28
创建注册表键值: HKCR\.key\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:27
创建注册表键值: HKU\S-1-5-21-1292428093-492894223-682003330-500\Software\ASProtect\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:27
创建注册表键值: HKCR\TypeLib\{F12CFC7C-F477-1FA3-353A-2AD56C1D1BF8}\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:27
创建注册表键值: HKCR\CLSID\{0F36B866-D423-41BC-D09C-A2821386D340}\, 由 C:\Documents and Settings\Administrator\桌面\7.651581504579699E8.exe 在 01.19.2013  16:20:27
创建


DW记录下的修改都已经生效并没有被回滚...........但是瑞星报的那两个衍生物被删除






下面我们关闭瑞星试试.........winwinit.exe出现在temp中










由于条件和技术的原因  无法得出较为正确的结论  不过可以看出来的是  似乎瑞星只对触发其行为防御的进程进行删除 至于其产生的dll或者其他文件,似乎无法起到回滚的作用


期待高手进行更详细的研究

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x

评分

参与人数 2经验 +30 人气 +1 收起 理由
heaven888 + 30 版区有你更精彩: )
zmzcy + 1 测试辛苦

查看全部评分

江湖的fans
 楼主| 发表于 2013-1-19 17:57:05 来自手机 | 显示全部楼层
好吧,我伤心了,我这帖子就这么不招人待见

评分

参与人数 1人气 +1 收起 理由
luxiao200888 + 1 版区有你更精彩: )

查看全部评分

卡殿神威
发表于 2013-1-19 18:01:32 | 显示全部楼层
瑞星没有回滚。费尔有。
jinglu
发表于 2013-1-19 18:03:43 | 显示全部楼层
本帖最后由 jinglu 于 2013-1-21 14:21 编辑

没有回滚?!
卡殿神威
发表于 2013-1-19 18:08:22 | 显示全部楼层
jinglu 发表于 2013-1-19 18:03
没有回滚?11有。

v16主防明显比11弱,应该是把回滚取消了吧
宇中之神
发表于 2013-1-19 18:09:34 | 显示全部楼层
10和11貌似有,2010肯定是有基本是从微点进化来的,微点是有回滚的。2012版主防精简了很多
苍白诺言
发表于 2013-1-19 18:20:43 | 显示全部楼层
木有研究过,不过觉得瑞星V16的防御还是可以吧
hez2010
发表于 2013-1-19 19:34:16 | 显示全部楼层
瑞星的回滚是没有,2011的与V16的回滚方式也一样,仅仅删除衍生物,至于注册表就需要配合系统加固功能使用,因为那个可以拦截注册表修改项

评分

参与人数 1经验 +10 收起 理由
heaven888 + 10 感谢解答: )

查看全部评分

guobao13
发表于 2013-1-19 19:55:16 | 显示全部楼层
江湖的fans 发表于 2013-1-19 17:57
好吧,我伤心了,我这帖子就这么不招人待见

版主还是会诺顿区吧,瑞星现在的研发进度实在是让人蛋疼

评分

参与人数 1人气 +1 收起 理由
江湖的fans + 1 以前的铁壳区版主

查看全部评分

江湖的fans
 楼主| 发表于 2013-1-19 20:06:14 | 显示全部楼层
hez2010 发表于 2013-1-19 19:34
瑞星的回滚是没有,2011的与V16的回滚方式也一样,仅仅删除衍生物,至于注册表就需要配合系统加固功能使用, ...

记得以前工程师说过 回滚是删除其他衍生物的 现在不知道怎么了
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-12-26 00:11 , Processed in 0.135918 second(s), 18 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表