关于瑞星内核加固与木马防御存在联动的研究

显示全部楼层 · 发表于 2011-5-29 00:18:35

本帖最后由星空下的吻于 2011-5-29 17:51 编辑

之前大家可能知道瑞星的网络防火墙与木马防御模块存在联动,也就是说开启防火墙后手动放过可疑程序联网的请求,会最,大限度的提高木马防御的威力.此次与大家分享的是瑞星内核加固与木马防御存在的联动.本次实验的样本是最近自己写的一个简单的修改IE主页的程序,修改的原理就是更改Shell命名空间,使得本地普通的修改主页方式全部无效.

现在只开系统加固模块的:

只开木马防御防御失败:

同时开启:

从以上事例可以说明瑞星内核加固与木马防御之间存在着联动,应该是瑞星的系统加固防御行为成功后能够告知木马防御模块,木马防御模块再判断是否触发规则然后给出判断;实验也证明瑞星的流氓软件规则确实是存在的,对于这样一个单步的修改主页的程序也有一定的防御能力.

所以建议一些高级用户可以配合系统加固使用,我很早在论坛上贴出过自己的设置,无弹窗版本,没有引起大家的注意,希望这次能够给大家带来一些帮助.

样本附件:

经过官人指点,先上传通过Windows程序编译的版本,结果的确如官人所说.但是希望官人能够解释一下控制台程序出现的结果的原因!

截图:

样本只是测试使用,本身添加的网址是个人的微博,无其他恶意行为,大可放心测试.不过修改成功后确实手动不容易修改
回来,在这里提示一下!

忘记提醒了,win7平台对于开启UAC的用户是无效的.

最后的结论:
瑞星木马防御与系统加固是相对独立的两个防御模块,在可疑程序运行的时候,文件被分析的信息将同时传达给两个模块,两个模块会给出自己的判断,并不存在所谓的联动!!

显示全部楼层 · 发表于 2011-5-29 00:40:40

WIN7运行不了

显示全部楼层 · 发表于 2011-5-29 07:06:28

顶起学习

显示全部楼层 · 发表于 2011-5-29 09:03:13

学习了

显示全部楼层 · 发表于 2011-5-29 09:17:09

感谢，学习了

显示全部楼层 · 发表于 2011-5-29 09:38:33

不错啊，楼主很牛，不过瑞星的HIPS应该向卡巴斯基学习，卡巴那个规则我觉得很好

显示全部楼层 · 发表于 2011-5-29 09:51:39

我一直用瑞星安全助手查杀木马，原来瑞星全功能里边也有啊

显示全部楼层 · 发表于 2011-5-29 10:08:21

不用研究这个真没“联动”功能
驱动在拦截到一个动作的时候会同时通知两个功能
其实网络连接那个目前其实也没什么联系
只要有网络行为无论开不开那个网络访问保护都会同时通知木马防御

显示全部楼层 · 发表于 2011-5-29 10:13:54

newcenturysun 发表于 2011-5-29 10:08
不用研究这个真没“联动”功能
驱动在拦截到一个动作的时候会同时通知两个功能
其实网络连接那个目前其 ...

不过单开木马防御模块确实无法防御的

显示全部楼层 · 发表于 2011-5-29 10:26:53

可能是内核加固拦截了那个动作后病毒走了另一个分支那个分支触发了木马防御规则

[瑞星] 关于瑞星内核加固与木马防御存在联动的研究

本帖子中包含更多资源

评分

评分