卡巴主动防彻的严重漏洞（测试“小浩”病毒样本）

显示全部楼层 · 发表于 2007-8-18 00:59:03

样本区某个帖子里某个版主提到：卡巴主动防彻3步成功拦载“小浩”病毒的一个变种，第一次运行的时候果然成功拦载了，不过第2次运行的时候呢？结果不一样，第2次运行时无论你阻止还是允许，病毒轻松地过了卡巴主动防彻顺利感染系统，不相信的话，敢测试的人来测试一下。（现在这个样本的特征码已经被加入了卡巴的病毒库，要测试的话需要关闭卡巴的实时监控功能，只要开启主动防彻）；这里我只是想告诉大家卡巴的一个严重问题，运行后的后果我不负责。
第2次运行时卡巴的主动防彻为什么不能拦载？这个算不算漏洞？

显示全部楼层 · 发表于 2007-8-18 01:30:27

嗯，刚刚在影子下测这个样本也出现类似的情况
http://bbs.kafan.cn/viewthread.php?tid=119656&extra=page%3D1

第一次报的是将自身注册为启动项的可疑行为，病毒还没到修改exe文件的时候
而之后运行样本，就都是统一报可疑行为了，报的时候病毒已经改了一堆exe文件

显示全部楼层 · 发表于 2007-8-18 02:39:50

感谢楼主认真钻研的精神。
那个帖子是我发的，其实我在测试卡巴主动防御的过程中也发现过这个问题，我的解决办法是把所有的报告都删除，包括已经检测到的所有危险记录，这样就卡巴主防就可以再次拦截。
刚才我又测试了一下S168.EXE
我连续测试了10次，卡巴的主动防御都拦截了，当中没有删除报告。
不知道是否对有些病毒才会出现“二次失效”的情况

[ 本帖最后由 Redevil 于 2007-8-18 02:59 编辑 ]

显示全部楼层 · 发表于 2007-8-18 09:57:50

能不能上报给卡巴? 测试"小浩"病毒时这个bug的表现很明显.

显示全部楼层 · 发表于 2007-8-18 10:55:14

我分两次连续测试了10多次，没问题，可以拦截

显示全部楼层 · 发表于 2007-8-18 10:58:58

呵呵，楼主很有专研精神啊。可是作为普通用户，发现病毒之后，一定是删除的，难道还会保留并再次运行吗？

显示全部楼层 · 发表于 2007-8-18 11:24:09

我觉得卡巴的主动防御只是一个辅助的手段，并不能跟那些专业的hips相比，所以还是要开启实时监控来得实在。

显示全部楼层 · 发表于 2007-8-18 12:36:40

感觉这个问题应该上报给卡巴

显示全部楼层 · 发表于 2007-8-18 13:27:51

你测试了小浩病毒样本吗? (此帖子里的),,,

显示全部楼层 · 发表于 2007-8-18 13:42:15

进来学习学习。。。

卡巴主动防彻的严重漏洞（测试“小浩”病毒样本）

回复 #3 Redevil 的帖子

回复 #5 eubyo 的帖子