行为分析会是一种对付高变形病毒的选择手段！

china_killer

大家都知道，样本区经常会有一些比较常见的样本~~~

这些样本加密变形比较快，如果按照来一个入库一个这种传统方式进行处理，就算有云，响应快~~

也不是很有效：这种高加密攻击，一般都是以“捞一把就成”的思路设计的，也就是说，它们追求的不再是

长时间有效，而是让杀毒引擎在第一波攻击时没有办法查杀~~~ ~~~ 能查杀了，病毒作者就开始继续免杀了。



而这类病毒虽然文件变化比较大【外表~~】，但是它的攻击行为模式是比较固定的~~【内在】
之前和vm01 讨论过这类问题，他提出过 ZA这类病毒的攻击模式比较固定~~~  
我简单看了些样本，确实是和VM01说的那样，利用行为分析比较好处理。

下面演示下，火绒行为分析如何去处理拦截这类病毒的。


给大家介绍下测试环境

1.虚拟机 WINXP-SP2

2.安装好火绒安全软件【打开火绒剑---观察病毒动作、行为】

3.病毒样本一枚：http://bbs.kafan.cn/thread-1466434-1-1.html   【加密、变形比较多，常见的~】


如图：


1.病毒遍历进程

2.病毒挂起M$安全中心的线程

3.病毒攻击EXPLORER 进程，写入病毒代码
   通过APC方式，启动EXPLORER进程中的病毒攻击代码

4.以上攻击行为已经被火绒未知病毒拦截加入启发识别了，所以报毒挂起病毒的进程【冷冻】

5.用户点击清除，病毒进程被结束，动作回滚清除现场，样本被隔离~~
....



注：
    其实很多高变形、加密病毒使用行为防御这类主动防御技术是相对病毒扫描引擎来说比较容易处理、防御
的，关键还是对病毒的动作、行为做好分析~~然后使用行为启发规则来分析处理~~~

   感谢vm01的提醒，火绒节后会开始继续提升“未知病毒行为分析拦截”的强度~~~不能白白浪费主动防御
这类技术~~在处理这类问题上的优势！

ZXONEPIECE

支持火绒哈，期待加强

潘中医

你师哥把主防玩的连云都不加了，现在国内小白都认为杀毒软件就是查杀的，查杀越高越好。。。。。。。。无语了

china_killer

潘中医 发表于 2013-2-12 11:58
你师哥把主防玩的连云都不加了，现在国内小白都认为杀毒软件就是查杀的，查杀越高越好。。。。。。。 ...

亲~~· 不是不加云~~~

你看清除了：云是要加的，但是防御也应该加强呀~~ 都加强了，才能比较好的防御这类攻击！

单纯的独立使用云，统计查杀、和主动防御技术不能很好的解决问题的，只有这些技术齐头并进综合利用才有希望呀！

784696777

vm001吧

潘中医

china_killer 发表于 2013-2-12 12:04
亲~~· 不是不加云~~~

你看清除了：云是要加的，但是防御也应该加强呀~~ 都加强了，才能比较好的防 ...

现在国内小白都认为杀毒软件就是查杀的，查杀越高越好。你做的火绒也不写说明书，也不科普。。。。。。。。。。。。。。。。。

china_killer

潘中医 发表于 2013-2-12 12:09
现在国内小白都认为杀毒软件就是查杀的，查杀越高越好。你做的火绒也不写说明书，也不科普。。。。 ...

我有罪~~~~
我坦白~~~~~

可以了吧·~

Flameocean

你这个火绒剑能不能发的详细一点，我至今还有些不会用，就麻烦把这个样本运行时，火绒剑勾选哪些项目科普一下

china_killer

Flameocean 发表于 2013-2-12 12:20
你这个火绒剑能不能发的详细一点，我至今还有些不会用，就麻烦把这个样本运行时，火绒剑勾选哪些项目科普一 ...

如图：



1.打开火绒剑-----切到系统监控页面【不需要开启】

2.将你需要分析的样本拖动到监控页

3.提示你进行进程树过滤【直接点确认】

4.系统监控会显示拖入样本的动作【以及它启动的其它程序的动作】

.......这样信息就少很多了，你如果需要还可以继续上去设置过滤【按动作来】



实在抱歉呀~~~ 火绒剑出来这么久没有写比较详细的使用说明~~~
主要因为，这个工具是给病毒分析人员用的~~~~有时间我们补上~~~

617902068

china_killer 发表于 2013-2-12 12:29
如图：

可以直接拖动
我火星了~~~~