试试各家 主防 的极限在哪

870097067

一双情缘 发表于 2012-5-11 12:43
实践出真知

嗯嗯，瞭解

a256886572008

该不会有人看完这篇之後，就开始对 wuauclt.exe 加规则吧

Vbs.Newlove

没虚拟机 不敢双击 有人试试费尔动态防御吗？

左手

a256886572008 发表于 2012-5-11 17:49
该不会有人看完这篇之後，就开始对 wuauclt.exe 加规则吧

这个。我一直是降权组里。全阻止的
估计就是你说的禁运了！

尘梦幽然

wjcharles 发表于 2012-5-10 21:57
NIS2012 sonar，mjt0uikj，貌似行为有点不一样。。。

叹。。。上报吧。

hx1997

hddu 发表于 2012-5-11 09:03
不是克隆的问题，是进程注入的问题，进程注入自身没有不正常的，关键是进程被注入后，有没有
做出危险的 ...

好吧也许你说的也在理，但是我真没见过哪个正常程序会这么无聊，启动自己再注入。

关键不在于注入自己，而在于启动了新的自己再注入，根本没必要。

左手

2012-05-12 09:24:07    设置文件隐藏属性    允许
进程: h:\program files\avp\mjtuikj\mjt0uikj.exe
目标: H:\Program Files\AVP\mjtuikj\mjt0uikj.exe
规则: [应用程序]h:\program files\avp\mjtuikj\mjt0uikj.exe -> [文件]h:\program files\avp\mjtuikj; mjt0uikj.exe

2012-05-12 09:24:23    创建新进程    允许
进程: h:\program files\avp\mjtuikj\mjt0uikj.exe
目标: c:\windows\system32\wuauclt.exe
命令行: C:\WINDOWS\system32\wuauclt.exe
规则: [应用程序组]U+_行为防御_降权组件

2012-05-12 09:25:02    修改其他进程的线程    阻止
进程: h:\program files\avp\mjtuikj\mjt0uikj.exe
目标: c:\windows\system32\wuauclt.exe
规则: [应用程序组]S+_Prgramfiles -> [目标应用程序]c:\windows\*