url_bbs.exe在NIS2010Beta下的虚拟机测试

chinajl

承接昨天的主题：《实测NIS2009 更新可识别病毒的病毒库后的病毒清除和修复能力》http://bbs.kafan.cn/thread-529012-1-1.html
样本区样本：http://bbs.kafan.cn/thread-528032-1-1.html
样本是本体url_bbs.exe一个，之前截获的衍生物,dll文件两个。

测试的结果已经出来了，不过，各位同学最好收拾一下心情，不要有太多的期待，因为没有硝烟，没有激烈的战斗，没有精彩。。。。。。
















环境仍然是VMWare,WinXPSP3
NIS2010 Beta,105版本

特殊处理了一下，安装没有加载46M的symcdefs，目的是不让NIS一下把url_bbs.exe秒杀了。安装后脉动了一下 -____-!!!  日期如图



手动杀一下，没有发现病毒，测试可以进行。


File Insight。哦，不认识你，很陌生的说


NIS是狡猾狡猾滴？？突然识别出衍生物？ 两个.dll文件被干掉了。但是不影响测试，url_bbs.exe依旧没有被识别出来，包括更新病毒库后（跟2009的病毒库不一样？）










==============================================简约的分割线====================================

运行url_bbs.exe，病毒运行了。但是没有上次NIS2009测试激烈的博弈，NIS2010留给我们的只是非常短暂的过程；这次测试的不是病毒，是寂寞











去片

SONAR触动




战斗很快结束了




详情





===================================================简约的分割线再现==============================

url_bbs.exe没有来得及释放衍生物，战斗就已经结束了。
其实还有一个测试，就是不加载病毒库，也就是没有没有任何病毒库，但是自动防护无法启动，空防的结果很惨烈，没有太多的意义，只有少部分的病毒行为无法展开。二楼接几个图片。

[ 本帖最后由 chinajl 于 2009-7-31 18:37 编辑 ]

chinajl

2楼是我的


没有安装病毒定义



无法启动自动防护




运行病毒了，过程就不呈现了。

社区防护收集样本




社区防卫，反馈。







End>>

[ 本帖最后由 chinajl 于 2009-7-31 18:34 编辑 ]

chinajl

3楼也是我的




2010的SONAR比2009改进，NIS 2010值得期待



另外简单的扫描不代表最终的结果，当然，如果病毒定义可以识别第一时间拦截是最好滴

[ 本帖最后由 chinajl 于 2009-7-31 18:40 编辑 ]

洒家谈谈

一看标题还以为Norton2010防护失败了,没想到这么简单就用SONAR防住了.

tom777tom

进来看战争.看来2010期代很大啊

[ 本帖最后由 tom777tom 于 2009-7-31 18:45 编辑 ]

bingc

那理论上我今天的这个也可以被SONAR防住的吧？
除非那个EXE变异……

http://bbs.kafan.cn/viewthread.php?tid=529649&extra=page%3D1&frombbs=1

jpzy

从样本运行到Sonar开始动作，经过大概多长时间？？
记得09的Sonar最初是有本地行为分析的，以至于很多人欢喜着：NIS09将NAB整合进来了。结果后来的更新，Sonar的本地行为分析被去掉了。。。。

我仍然觉得，目前的病毒针对铁壳的不太多。如果刻意针对铁壳，做好特征免杀，运行以后就尝试干掉铁壳，恐怕…………（最简单的方法：IFEO劫持，然后重启计算机。这两个行为不需要太多时间。铁壳的自保虽然不错，但是在这样的情况下恐怕Sonar还没得到反馈，铁壳已经挂了）

葱葱.Com

2010   值得期待……

冲冲

beta的库是不完善的……

星夜孤独

LZ吓到我了。
刚开始看还以为2010又失败了。。