实测NIS2009 更新可识别病毒的病毒库后的病毒清除和修复能力

chinajl

依旧是昨天的病毒
本区原帖：http://bbs.kafan.cn/thread-528049-1-1.html
样本区样本：http://bbs.kafan.cn/thread-528032-1-1.html

NIS2009版本，本区资源集合贴中的英文OEM90DAYS版本，病毒库创建于2008年8月29日

虚拟机系统，WinXPSP3，没有其他IS或者HIPS辅助。[:27:]   运行病毒，所有的防护靠SONAR了

接下来是极端情况下比较恶劣的测试，情况仅供参考。打开网络连接，先运行病毒一段时间，过程中SONAR像昨天那样不断拦截部分病毒（跟昨天有些不一样就是没有出现大批病毒出现杀一个来一批的情况 ）然后打开NIS的自动更新和脉动更新。

病毒连接的情况：
60.173.12.54 安徽省铜陵市 电信
60.173.12.151 安徽省铜陵市 电信



9:08-9:32的这段时间内，脉动更新了几次，自动更新没有运行，病毒库日期也没有更新，依旧是SONAR发挥作用。



9:32手动LiveUpdate,9:47完成更新
提示要Restart，选择稍后重启。继续观看战况



更新病毒库后自动防护开始起作用了


NIS开始努力杀出进程中能够识别的病毒，需要重启。NIS自动禁用了停止自动防护，启动时加载也打开了。


重启后自动防护仍然发现病毒并且清理。
C盘被病毒设置为系统隐藏



系统文件被修改，Windows文件保护提示插入光盘恢复




打开的任务管理器在数秒内被自动关闭，仍然看到病毒的影子，IEXPLORER.EXE仍然被调用，病毒的DLL仍然插入和相关进程。


另外发现NIS的右键杀毒武功被废了

手工处理病毒，发现有个隐藏的Klan服务，提取其.sys文件。病毒修改了注册表隐藏文件，看不到。





仍然有若干不明物体


IEFO劫持，不少安全软件的名字在列。




提取的Klan.sys手动关禁这个服务后任务管理器正常了。

最后发现VMWare Tools不知道什么时候被干掉了。

[ 本帖最后由 chinajl 于 2009-7-30 15:38 编辑 ]

chinajl

老规矩，二楼也是我的。




结论：清理病毒不彻底。

很多时候（中毒后）抢救往往很难恢复原状。NIS的启发式防护和SONAR有待加强，特别对于IEFO劫持，病毒使用ntsd命令了 。

[ 本帖最后由 chinajl 于 2009-7-30 15:24 编辑 ]

chinajl

晕，要修复一下图片和附件




论坛太不智能了！ 15个附件只有一个大了一点，600多K，就让我重新发帖子

[ 本帖最后由 chinajl 于 2009-7-30 15:19 编辑 ]

weater

在2010种  SONAR 和启发都加强了
不过MSSONAR要连网判断  
如果病毒第一步就是断网 嘿~  那。。。。

chinajl

原帖由 weater 于 2009-7-30 15:29 发表
在2010种  SONAR 和启发都加强了
不过MSSONAR要连网判断  
如果病毒第一步就是断网 嘿~  那。。。。

我觉得Symantec有必要开一个中文交流社区。[:26:]

qiao7387

晕、当头一棒打在我这个NIS09用户的头上

冲冲

原帖由 weater 于 2009-7-30 15:29 发表
在2010种  SONAR 和启发都加强了
不过MSSONAR要连网判断  
如果病毒第一步就是断网 嘿~  那。。。。

第一步断网的毒貌似没见过

weater

ARP

冲冲

我吐血了

冲冲

lz如果有空顺便把2010对比测试下