貌似过了360安全卫士的QVM主防

显示全部楼层 · 发表于 2011-8-16 09:14:10

本帖最后由 xxss 于 2011-8-16 17:30 编辑

受李白大人的启发，把病毒分割之后再内存加载，本以为会被QVM直接拦下，没想到竟然过了……
具体如附件的图，样本采用最近的360KILL，一个模拟鼠标关闭WS的程序，已经入库了
直接双击，报毒：

然后用附件中的Loader.exe配合yslvcx.0与yslvcx.1，直接开启了

测试过程中关闭了可疑文件自动上传，可能不久就要失效了吧。
也不知道这算不算过，另外测试一些被QVM主防拦下的程序，用此方法也可以突破，但破不了强大的云主防……

最近测试发现的，觉得如果修复下会更安全吧……
附件：

如果Loader被杀了，可以换这个Loader，剩下的yslvcx.xx依然不要动。
如果用的8.2.0.1002c版本的话，不要放在桌面启动。。

显示全部楼层 · 发表于 2011-8-16 09:28:08

类似于分割的压缩包

这种东西只要是扫描都没办法吧

不过运行监控应该识别的呀？

显示全部楼层 · 发表于 2011-8-16 09:41:44

z13667152750 发表于 2011-8-16 09:28
类似于分割的压缩包

这种东西只要是扫描都没办法吧

就是没有识别出来
直接运行了

显示全部楼层 · 发表于 2011-8-16 10:18:58

病毒包分割，MS扫描是不会报的

显示全部楼层 · 发表于 2011-8-16 10:24:06

aywps 发表于 2011-8-16 10:18
病毒包分割，MS扫描是不会报的

不是扫描，主防也过了

显示全部楼层 · 发表于 2011-8-16 10:29:21

QVM 能kill，呵呵！

显示全部楼层 · 发表于 2011-8-16 10:37:03

本帖最后由 xxss 于 2011-8-16 10:37 编辑

junyangxie 发表于 2011-8-16 10:29
QVM 能kill，呵呵！

不明白，我这里QVM不会杀Loader.exe
是不是因为上传了，结果入库了……

显示全部楼层 · 发表于 2011-8-16 10:44:48

这个思路确实比较蛋疼。光一个loader自然看不出什么，而两个分割的东西不具备PE特征，自然也不扫描。

显示全部楼层 · 发表于 2011-8-16 10:45:44

xxss 发表于 2011-8-16 10:37
不明白，我这里QVM不会杀Loader.exe
是不是因为上传了，结果入库了……

loader.exe确实没杀，kill360.exe杀了。

显示全部楼层 · 发表于 2011-8-16 10:47:20

junyangxie 发表于 2011-8-16 10:45
loader.exe确实没杀，kill360.exe杀了。

kill360是原版文件，已经入库了……

[讨论] 貌似过了360安全卫士的QVM主防

本帖子中包含更多资源