针对某病毒样本的攻防测试

显示全部楼层 · 发表于 2012-2-17 10:47:19

2月4号在病毒样本区有一个名为“index.rar”的压缩包。（http://bbs.kafan.cn/thread-1216545-1-1.html）

我进行了下测试。

该样本测试的部分结果如下：

主要行为简述

1.创建随机命名的启动项
创建启动项HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run：{53D86689-6D36-7C76-2A8E-92AE9853857B}
值: "C:\Documents and Settings\Administrator\Application Data\Covade\aduzzya.exe"

2. 删除输入法的启动项

3. 创建文件
C:\Documents and Settings\Administrator\Local Settings\Temp\tmp277e9d37.bat后执行完bat脚本又删除该脚本文件。

金山毒霸活体查杀查杀效果截图

卡饭样本2

主要行为简述
1 创建病毒文件
C:\Documents and Settings\Administrator\Local Settings\Temp\nssC.tmp\System.dll
C:\Documents and Settings\Administrator\Local Settings\Temp\dosss11.dll

2 释放驱动
C:\Documents and Settings\Administrator\Local Settings\Temp\hcpidesk.sys
C:\WINDOWS\system32\drivers\hcpidesk.sys
3 重启替换文件C:\Documents and Settings\Administrator\Application Data\Xqvyvv.exe
为C:\WINDOWS\TEMP\~myD.tmp

显示全部楼层 · 发表于 2012-2-17 11:07:15

支持下测试~

显示全部楼层 · 发表于 2012-2-17 11:08:27

前排支持~

显示全部楼层 · 发表于 2012-2-17 11:27:30

支持测试

显示全部楼层 · 发表于 2012-2-17 11:30:10

不知微点能否拦截

显示全部楼层 · 发表于 2012-2-17 11:52:08

生命在于运动发表于 2012-2-17 11:30
不知微点能否拦截

帖子有人说了，微点扫描MISS，双击拦截
数字下载报毒

显示全部楼层 · 发表于 2012-2-17 12:08:14

8错
山山的云启发
虽然是sp3

显示全部楼层 · 发表于 2012-2-17 12:19:56

云启发很给力啊

显示全部楼层 · 发表于 2012-2-17 12:34:40

chongzifei 发表于 2012-2-17 12:19
云启发很给力啊

他用的SP3木有云启发把

云启发貌似在SP3.1

显示全部楼层 · 发表于 2012-2-17 12:44:19

本帖最后由 kyzi 于 2012-2-17 13:05 编辑

题目又叫攻防测试
何为攻防？？？？？？
如果你在病毒安装过程弹窗阻止那才说防吧。。。。。
病毒都成功安装运行了。。。。那叫防吗？？？？
题目应改成修复系统测试比较合理些。。。

[金山] 针对某病毒样本的攻防测试

本帖子中包含更多资源