SONAR测试（7.27），见208楼

wjcharles

消停 发表于 2012-4-28 07:57
4.27测试（N360V6.2）
卡饭4月25日测试样本（样本数50）
今天监控和扫描结果一致，都剩了16个，检出数量和 ...

随便试了一个，AJ，重启前释放启动项，立即自动退出，没有其他动作，恶意行为不足，sonar不杀，但已经监控了（从sonar记录可以看到）；重启后添加的启动项自启，也有可疑动作，可以确认样本恶意，于是连启动项和原样本一起杀了
这样既减少误报，又不会漏过，但在实际使用中对此类样本无疑是个很好的解决方案，唯一的缺点是对双击测试造成很大干扰，
所以说主防需要样本有恶意行为才报，哪怕行为间的逻辑联系跨越了重启


完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012/4/28 ( 10:39:55 )
上次使用时间 2012/4/28 ( 10:39:55 )
启动项目 是
已启动 是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________


源文件:
iplmxye.exe
____________________________
文件操作
文件: c:\programdata\prbphsw\fhjmsmu\iplmxye.exe
已删除
文件: c:\users\sshss\downloads\kafan0427\billlab-aj.exe
已删除
____________________________
注册表操作
注册表更改: HKEY_USERS\S-1-5-21-132046228-1071471334-2442218452-1000\Software\Microsoft\Windows\CurrentVersion\Run->IplmxyE
已删除
____________________________
系统设置操作
事件: 进程启动 (执行者 c:\programdata\prbphsw\fhjmsmu\iplmxye.exe, PID:1404)
未采取操作
事件: 进程启动 (执行者 c:\users\sshss\downloads\kafan0427\billlab-aj.exe, PID:5572)
未采取操作
事件: PE 文件创建: c:\programdata\prbphsw\fhjmsmu\iplmxye.exe (执行者 c:\users\sshss\downloads\kafan0427\billlab-aj.exe, PID:5572)
未采取操作
____________________________
可疑操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\programdata\prbphsw\fhjmsmu\iplmxye.exe, PID:1404)
未采取操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\kafan0427\billlab-aj.exe, PID:5572)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

消停

wjcharles 发表于 2012-4-28 11:16
随便试了一个，AJ，重启前释放启动项，立即自动退出，没有其他动作，恶意行为不足，sonar不杀，但已经监 ...

看来这个是需要重启才报的！另外重启前哪里能看到sonar关于这一个样本的记录？我有双击了一下，没看到呀！

wjcharles

消停 发表于 2012-4-28 11:17
看来这个是需要重启才报的！另外重启前哪里能看到sonar关于这一个样本的记录？我有双击了一下，没看到呀 ...

重启前的记录我们是看不到的，但看重启后sonar的记录，里面有重启前母体的行为。。。

另外测了AC，自动退出无行为；BR和BS都是差不多一个月前的，数字签名有效，我这运行后除了连一下网（没有数据流量）也没有行为，如果是病毒的话应该需要服务端支持

卡饭样本正常情况下这种无行为或运行出错的样本有不少，我之前几次双击测试也是这样；双击测试的标准也有几种，测NIS这种是最严格的，必须杀母体；有的测试只要样本没有恶意行为就算在查杀内

消停

wjcharles 发表于 2012-4-28 11:37
重启前的记录我们是看不到的，但看重启后sonar的记录，里面有重启前母体的行为。。。

另外测了AC，自 ...

bs你测的时候有删除自身的行为吗？

wjcharles

消停 发表于 2012-4-28 11:55
bs你测的时候有删除自身的行为吗？

没有，建立连接但没有流量，过一会自动退出

消停

wjcharles 发表于 2012-4-28 12:27
没有，建立连接但没有流量，过一会自动退出

在我这里大概过了10几分钟，样本就没了！双击的时候入侵防护还拦截来着！

wjcharles

消停 发表于 2012-4-28 12:37
在我这里大概过了10几分钟，样本就没了！双击的时候入侵防护还拦截来着！

看来是跟网络情况或者对方的控制端有关。。。

消停

5.09测试（N360V6.2）
卡饭5月9日测试样本（样本数40）
今天监控剩了12个，检出数量比昨天宅猫在测评区测的结果多了5个！


双击：

BLJ-0509-0：诺顿没反应，该样本向所在的文件夹释放了一个隐藏文件夹。


BLJ-0509-4：


BLJ-0509-6：


BLJ-0509-25：


BLJ-0509-29：


BLJ-0509-31：


BLJ-0509-32：
样本和sonar都没什么反应。

BLJ-0509-35：安装后就定在这里，关闭没有什么异常，期间打开个网页，让下载免费音乐，下载后是个程序，下载智能分析提示安全，下载的这个程序双击后重复上述操作，但打开的网页不一样！浏览器被添加插件。




BLJ-0509-36：
结果同35。

BLJ-0509-37：sonar无反应，系统被添加插件和启动项。



BLJ-0509-38：安装之后出现以下提示


BLJ-0509-39：没等双击呢，自动防护给隔离了



最后剩了6个样本

ostar843

支持测试  上报了吗

消停

ostar843 发表于 2012-5-10 11:48
支持测试  上报了吗

报了