新版黏虫穿越360黏虫保护与最新的网络防护——新版已可拦截

zst470396853

Tron 发表于 2011-12-31 23:01
ND需要进程防护的支持。

哦 我在测试下

可是我该MD5  会被云QVM直接拦截 .......

告诉下测试方法  或者告诉我QVM文件夹的位置   我删除 测试

zst470396853

leisong 发表于 2011-12-31 22:21
说对了，就是删除360文件夹下的QVM文件夹，废了云QVM测试纯主防

告诉下  QVM文件夹的位置把

yestersummer

zst470396853 发表于 2011-12-31 23:08
告诉下  QVM文件夹的位置把

C:\Program Files (x86)\360\360Safe\deepscan\QVM，默认安装路径

yestersummer

jm3800072 发表于 2011-12-31 22:31
这个比较新，网络防护不知道能不能防
http://bbs.kafan.cn/thread-1185325-1-1.html

这个样本，8.6beta C版无任何弹窗！督导版不知道是什么结果！
毛豆的测试结果如下：

2011-12-31 22:53:56   C:\Windows\explorer.exe   创建进程, 拦截文件   C:\Users\VM\Desktop\002\002.exe   
2011-12-31 22:54:08   C:\Users\VM\Desktop\002\002.exe   Sandbox中运行   不信任级别   
2011-12-31 22:54:28   C:\Windows\System32\svchost.exe   创建进程, 拦截文件   C:\Users\VM\Desktop\002\002.exe   
2011-12-31 22:54:31   C:\Users\VM\Desktop\002\002.exe   Sandbox中运行   不信任级别   
2011-12-31 22:54:45   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Users\VM\AppData\Local\Temp\nssFBB3.tmp\lua51.dll   
2011-12-31 22:54:45   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Users\VM\AppData\Local\Temp\nssFBB3.tmp\un.package.exe   
2011-12-31 22:54:45   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKUS\S-1-5-21-1555038890-93194578-2410552418-1000\Software\Microsoft\windows\CurrentVersion\Internet Settings\Connections   
2011-12-31 22:54:45   C:\Users\VM\Desktop\002\002.exe   修改文件   \Device\Afd\Endpoint   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:54:52   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改注册表项   HKLM\SYSTEM\ControlSet001\Control\SESSION MANAGER\PendingFileRenameOperations   
2011-12-31 22:55:07   C:\Users\VM\Desktop\002\002.exe   修改文件   C:\Windows\wininit.ini   

zst470396853

yestersummer 发表于 2011-12-31 23:11
C:\Program Files (x86)\360\360Safe\deepscan\QVM，默认安装路径

我就是剪切的这里  该MD5  运行还是拦截了

360主动防御

leisong 发表于 2011-12-31 22:25
新版可以拦截了，但这个样本好像随机联网，有时不联网，重复测试时有时就不拦。

老的黏虫（MJ那有样本 ...

这个样本自己写的有问题, 实现的不稳定而已 你可以用wireshark等抓包工具看下 它确实没有联网的. 如果联网ND一定报的.

prawnliu

zst470396853 发表于 2011-12-31 23:17
我就是剪切的这里  该MD5  运行还是拦截了

已经拦截过的样本貌似会有缓存……
虚拟机的话恢复下快照，然后先废掉QVM再测试样本看看
如果实机测试……额……重启看看吧……

钟馗见鬼

对抗是好事。

goodliukun

2楼在说什么，话说我没遇到这个

leisong

zst470396853 发表于 2011-12-31 23:17
我就是剪切的这里  该MD5  运行还是拦截了

删除QVM后一定要关闭360后再打开，因为已经加载到内存了，光删除没用/