小红伞一个诡异现象

xiaojinglf

今天早晨发现群里有人在群共享放了一个样本，名字是：1(是木马).exe.

于是打开了群共享的网页管理界面，从浏览器中进行下载
点击：直接下载，此时小红伞立即弹出警告：

可疑文件是在本地浏览器缓存文件夹检出的。
我尝试性的选择了删除，但是文件被正常下载（请注意，在此期间，即使小红伞还在扫描，文件也应该是拒绝访问的）。


为了检查是否为小红伞拦截方式导致的问题，我将浏览器缓存清空后，再次将小红伞设置为检出可疑后立即拒绝访问（后来又设置过为直接删除）
均出现相同情况，文件照样被成功下载。
小红伞只是删除了在浏览器缓存文件夹的文件。

更有趣的是：
文件一旦被下载到本地，小红伞死活不认为是木马了。


双击被下载的程序可疑照常执行。


执行后该程序的确创建了管理员。并且无法删除。即使删除重启会x000050蓝屏，重启计算机后创建的管理员复活。
----------------------------------------------------------------------------------------
检查小红伞日志文件，发现当时在网页上的确检查出可疑：


解码这个文件名，的确是：1(是木马).exe


为了验证是否是文件名导致的问题，我再次将文件名改为：1(%E6%98%AF%E6%9C%A8%E9%A9%AC).exe。小红伞仍然无反应。说明并非文件名编码导致的现象。
---------------------------------------------------------------------------------------

我使用的是v2012 p版。没有安装web、mail及proactiv组件。

后来。我又安装了其他版本测试，均出现相同情况。

不知道原因何在了。

根据群友测试，avg也出现相同情况。
---------------------------------------------------------
下午我深入测试了一下。
这个问题的原因我找到了：

因为通过浏览器下载时候，当鼠标点击直接下载后，腾讯服务器返回了这个文件的文件头部分到浏览器缓存。地址终止到x0000a5o。此时小红伞检出文件头有问题。于是报警。但是由于小红伞只阻止了这个临时文件，而下载信息已经传达到浏览器下载控件。下载完成后，完整文件并没有在小红伞样本库中。因此不报了。

我想此现象是否也说明了小红伞病毒库样本采集分析有一定问题？

第二个附件为缓存中的文件。

好不容易整个名

舍机赴木马么

liu578zho588

可以发往小红伞官网求验证。

xiaojinglf

liu578zho588 发表于 2011-10-23 12:22
可以发往小红伞官网求验证。

已在官方论坛发帖

上海一哥

AVG也是如此，奇怪的事情。但是AVG报的是恶意软件。

solstice1988

我下载的时候监控没报

xiaojinglf

从附件下载是不会报的。
只会出现用浏览器打开腾讯群共享下载才会报，所以说诡异

克尼马

solstice1988 发表于 2011-10-23 13:33
我下载的时候监控没报

idm有自己的临时文件，不报正常。

xiaojinglf

这个问题的原因我找到了：

因为通过浏览器下载时候，当鼠标点击直接下载后，腾讯服务器返回了这个文件的文件头部分到浏览器缓存。地址终止到x0000a5o。此时小红伞检出文件头有问题。于是报警。但是由于小红伞只阻止了这个临时文件，而下载信息已经传达到浏览器下载控件。下载完成后，完整文件并没有在小红伞样本库中。因此不报了。

电影结束了

xiaojinglf 发表于 2011-10-23 16:16
这个问题的原因我找到了：

因为通过浏览器下载时候，当鼠标点击直接下载后，腾讯服务器返回了这个文件的 ...

基因问题。。。
AVIRA有几个基因都有这个问题了