紧急呼唤尘梦悠然驭龙！

消停

5.13精睿样本包现牛毒，请尽快处理上报，驭龙老大有时间看我测得对不对！@尘梦幽然 @驭龙 ！

http://bbs.norton.com/t5/forums/ ... Tech/thread-id/3214

1、修改系统时间：


2、诺顿的进程先是被挂起，随后被结束



3、诺顿的两个进程全部消失


4、文件关联被修改，所有exe的打开方式都变成图片查看器都无法运行，这样用户即使修改回系统时间，也无法再次打开诺顿进程


5、重启后用户名和开机密码被修改！


样本见诺顿论坛原帖或去样本区下载精睿5.13包里面的051.exe

jefffire

国内的毒居然会结束诺顿，与时俱进啊

消停

jefffire 发表于 2014-5-13 11:56
国内的毒居然会结束诺顿，与时俱进啊

因为诺顿好搞吧！

sogou2004

KES10 KILL95 CURE 5
诺顿主防隐患这次暴露了

jefffire

消停 发表于 2014-5-13 11:57
因为诺顿好搞吧！

虽然好搞，也极为罕见。国内的毒直接搞杀软的基本没有了。

消停

sogou2004 发表于 2014-5-13 11:59
KES10 KILL95 CURE 5
诺顿主防隐患这次暴露了

一会儿我装上卡巴，单试主防！

zpf94

修改系统时间。。。如果是SEP应该不会提示授权过期吧？！

jefffire

消停 发表于 2014-5-13 12:00
一会儿我装上卡巴，单试主防！

已经被云判定不信任了，测不了了

sogou2004

jefffire 发表于 2014-5-13 12:03
已经被云判定不信任了，测不了了

如果能测试 卡巴的系统回滚 能否起作用呢？

消停

jefffire 发表于 2014-5-13 12:00
虽然好搞，也极为罕见。国内的毒直接搞杀软的基本没有了。

结束进程纯粹多此一举，修改开机密码诺顿根本防不住！

驭龙

jefffire 发表于 2014-5-13 11:56
国内的毒居然会结束诺顿，与时俱进啊

我在想是不是修改系统时间以后，诺顿认为订阅过期，关闭自动保护，所以就没有自我保护了，也就被关闭了吧。

不过，我现在没有诺顿，没有测试，哈

驭龙

这应该是订阅安软的致命伤

jefffire

消停 发表于 2014-5-13 12:11
结束进程纯粹多此一举，修改开机密码诺顿根本防不住！

嗯。killAV四五年前很多。经过多年对抗，攻击套路基本上都被云HIPS封死了。现在除非是能利用系统或者软件漏洞的高手才能搞一搞。但能利用漏洞的高手，根本不需要杀进程，杀进程现象太明显。

sogou2004

驭龙 发表于 2014-5-13 12:12
我在想是不是修改系统时间以后，诺顿认为订阅过期，关闭自动保护，所以就没有自我保护了，也就被关闭了吧 ...

这么阴。。不过这样的话 会不会足以KILL所有带订阅的的杀软呢

jefffire

驭龙 发表于 2014-5-13 12:12
我在想是不是修改系统时间以后，诺顿认为订阅过期，关闭自动保护，所以就没有自我保护了，也就被关闭了吧 ...

改时间这个问题，六年前刚用卡巴斯基的时候就见过不知道多少这样的病毒，现在早就解决了。我觉得诺顿再不行，也不至于这个没考虑。

jefffire

sogou2004 发表于 2014-5-13 12:10
如果能测试 卡巴的系统回滚 能否起作用呢？

可以断网试一试。

驭龙

jefffire 发表于 2014-5-13 12:16
改时间这个问题，六年前刚用卡巴斯基的时候就见过不知道多少这样的病毒，现在早就解决了。我觉得诺顿再 ...

一两年前，我测试的时候，诺顿一旦没有订阅，基本上就是废掉了，不知道现在的情况是什么

sogou2004

消停 发表于 2014-5-13 12:00
一会儿我装上卡巴，单试主防！

这样你断网测试一下卡巴的系统回滚功能 看看是不是用来糊弄人的

jefffire

sogou2004 发表于 2014-5-13 12:15
这么阴。。不过这样的话 会不会足以KILL所有带订阅的的杀软呢

见15L

驭龙

sogou2004 发表于 2014-5-13 12:15
这么阴。。不过这样的话 会不会足以KILL所有带订阅的的杀软呢

不知道，应该带主防的都没事，姐夫不是说卡巴早就解决了吗，哈