貌似过了360安全卫士的QVM主防

显示全部楼层 · 发表于 2011-8-16 10:49:02

jefffire 发表于 2011-8-16 10:44
这个思路确实比较蛋疼。光一个loader自然看不出什么，而两个分割的东西不具备PE特征，自然也不扫描。

文件分割以后由ZLIB压缩存储，Loader加载时会加载到内存中解密再运行
这不关扫描的事吧，我说的是主防、主防哎

显示全部楼层 · 发表于 2011-8-16 10:50:27

xxss 发表于 2011-8-16 10:49
文件分割以后由ZLIB压缩存储，Loader加载时会加载到内存中解密再运行
这不关扫描的事吧，我说的是主防、 ...

最近才有对抗版本,主防还要更新

显示全部楼层 · 发表于 2011-8-16 10:50:39

本帖最后由 jefffire 于 2011-8-16 10:50 编辑

xxss 发表于 2011-8-16 10:49
文件分割以后由ZLIB压缩存储，Loader加载时会加载到内存中解密再运行
这不关扫描的事吧，我说的是主防、 ...

主防和QVM结合的还不行。目前的QVM主防仅仅是程序运行前挂起，调用扫描一下，还没做到查内存。

显示全部楼层 · 发表于 2011-8-16 10:51:34

xxss 发表于 2011-8-16 10:47
kill360是原版文件，已经入库了……

不是入库，是QVM启发报的。

显示全部楼层 · 发表于 2011-8-16 10:52:13

junyangxie 发表于 2011-8-16 10:45
loader.exe确实没杀，kill360.exe杀了。

http://bbs.kafan.cn/thread-1056629-1-1.html
分割后确实不能查出来。加载到内存运行，确实不能查

显示全部楼层 · 发表于 2011-8-16 11:00:12

junyangxie 发表于 2011-8-16 10:51
不是入库，是QVM启发报的。

QVM启发报HEUR/Malware.QVMXX.Gen
这个Trojan明显是可疑文件自动上传后杀出来的，入库了

显示全部楼层 · 发表于 2011-8-16 11:08:44

xxss 发表于 2011-8-16 11:00
QVM启发报HEUR/Malware.QVMXX.Gen
这个Trojan明显是可疑文件自动上传后杀出来的，入库了

我又测了一下，是我手里即将发布的版本报。线上版确实不报。
发布之后，告诉你，再测试一下。谢谢！

显示全部楼层 · 发表于 2011-8-16 11:10:16

junyangxie 发表于 2011-8-16 11:08
我又测了一下，是我手里即将发布的版本报。线上版确实不报。
发布之后，告诉你，再测试一下。谢谢！

嗯，好的

显示全部楼层 · 发表于 2011-8-16 11:25:48

junyangxie 发表于 2011-8-16 11:08
我又测了一下，是我手里即将发布的版本报。线上版确实不报。
发布之后，告诉你，再测试一下。谢谢！

即将发布的版本？QVM又加强了么

显示全部楼层 · 发表于 2011-8-16 11:45:23

xxss 发表于 2011-8-16 11:25
即将发布的版本？QVM又加强了么

常规发布。

[讨论] 貌似过了360安全卫士的QVM主防