样本20改过360主防录像.

z13667152750

sxyuqiao 发表于 2012-4-6 19:13
主防应该对未知文件进行严格防御才对。
再说了主防连着云的啊。

猜测是360主防本地规则的问题

360需要尽可能减少对加载dll的校验,所以只对特殊条件下的文件进行dll校验

sxyuqiao

z13667152750 发表于 2012-4-6 19:16
猜测是360主防本地规则的问题

360需要尽可能减少对加载dll的校验,所以只对特殊条件下的文件进行dll校验 ...

dll这个确实很成问题
从释放文件的动作这块入手
拦截非法的dll替换什么的应该会有效点吧

-oAo-

yjwfdc 发表于 2012-4-6 18:54
样本发出来也无意义,一发出来,他就加特征了.或者他现在正在改防御规则,

无样本无真相呢

yjwfdc

-oAo- 发表于 2012-4-6 19:20
无样本无真相呢

有样本也是无真相啊.

LockeHIPS

guidanba 发表于 2012-4-6 18:43
连字节都数出来，好细致。

今天怎么不贴网购木马样本了？没抓到？

今天应该是改造后的云端系统响应速度最快的一天，新的网购木马变种出现了四种（貌似某山一个都没抓到，敢陪3200啊，陪死了）

z13667152750

yjwfdc 发表于 2012-4-6 19:11
这个文件名特征拦截的方法几好.发现一个,拦截一个.

如果你进一步测试会发现,360的这种拦截方式不会有开机延时现象出现,但是360主防却有开机延时生效的特点

这更进一步说明云端交互拦截和主防无关,即使主防在开机后短时间内还未生效,云端交互拦截就已经可以拦截样本了

-oAo-

yjwfdc 发表于 2012-4-6 19:21
有样本也是无真相啊.

有样本人家试过就知道真相了

yjwfdc

-oAo- 发表于 2012-4-6 19:27
有样本人家试过就知道真相了

人家看过录像,早已经修改了云端规则了,那里会有真相呢?

z13667152750

yjwfdc 发表于 2012-4-6 19:28
人家看过录像,早已经修改了云端规则了,那里会有真相呢?

我更希望测试是否可以过网盾联动主防拦截

网盾联动是关键,没有网盾联动,主防对这类样本一直都是自动放行

peter08

-oAo- 发表于 2012-4-6 19:27
有样本人家试过就知道真相了

哪有试的机会.直接云响应了.
到时候又可以直接反喷说楼主在骗人.