难道是漏沙了？？？

540923555

今天下午更新病毒库后，办公室电脑和家里电脑同时发现这个。。。。是误报？？？还是之前沙盘玩样本漏沙了？？？按照微软的描述是蠕虫，可是电脑没有任何变化。。。。里面唯一提到的那个文件还是微软的有效数字签名。。。。高手帮忙看看截图里提到的那些注册表有没有问题吧。。。

https://www.microsoft.com/securi ... 02&enterprise=0

Worm:Win32/Bluber.A is a worm - a self-propagating program that can spread itself from one computer to another. Worms may spread themselves via a variety of different channels in order to compromise new computers. Commonly, worms may spread directly by copying themselves to removable or network drives, or by attempting to exploit particular vulnerabilities on targeted computers. Worms also often attempt to spread via platforms that require user interaction in order to run. They may send themselves as an attachment to an email or an instant message, or send a link to a copy of themselves in the body of a message. In these cases the message needs to be convincing enough to encourage the victim to click on the link or attachment and run or download a copy of the worm.

心醉咖啡

猎豹、火绒扫描miss

540923555

心醉咖啡 发表于 2017-3-31 22:48
猎豹、火绒扫描miss

微软的数字签名有效，国产杀软估计都不会报

pal家族

手动黑人问号？？？？？？？

skyboybone

好压：安全

驭龙

看注册值好像不太对。

另外这个文件是还原的，还是目录里复制过来的？

这个文件我的WIN RS2 32位系统和WIN 8.1 32位系统上都没有

540923555

驭龙 发表于 2017-4-1 10:23
看注册值好像不太对。

另外这个文件是还原的，还是目录里复制过来的？

隔离区还原回来的。我做成压缩包以后，重新打开监控，文件和注册表又被监控隔离了。但是右键扫描不报。。。。我的1607和RS2都报了。。。。两个都是64位系统。。。。。

驭龙

540923555 发表于 2017-4-1 11:19
隔离区还原回来的。我做成压缩包以后，重新打开监控，文件和注册表又被监控隔离了。但是右键扫描不报。 ...

刚才我见WDATP上有这个文件的深度分析日志，是14个小时之前的，应该是你分析的吧，分析中没看到有你那里的注册值，所以文件应该没事，注册表清理掉就可以了

另外我这里的WD和ATP都没有报这个文件，应该是你那里的注册值导致这个文件被报的，文件是没问题的

540923555

驭龙 发表于 2017-4-1 11:31
刚才我见WDATP上有这个文件的深度分析日志，是14个小时之前的，应该是你分析的吧，分析中没看到有你那里 ...

我发现病毒的电脑全都没装WDATP。。。。。

驭龙

540923555 发表于 2017-4-1 13:15
我发现病毒的电脑全都没装WDATP。。。。。

那就可能是其他人分析过吧，不过这个文件，应该没问题，注册表的话，我就没法测了