一个让国产杀毒集体无视的木马

显示全部楼层 · 发表于 2012-5-14 17:51:20

貌似可以识别了！

显示全部楼层 · 发表于 2012-5-14 20:47:10

z13667152750 发表于 2012-5-13 14:56
金山连向windows目录释放文件都拦截,不怕误报吗

本来就是修改文件（包括文件名），不是误报。
这里提示也没有说是拦截释放啊？
这个防御点还是掐的很准的

显示全部楼层 · 发表于 2012-5-14 20:50:30

本帖最后由 z13667152750 于 2012-5-14 20:52 编辑

qwe12301 发表于 2012-5-14 20:47
本来就是修改文件（包括文件名），不是误报。
这里提示也没有说是拦截释放啊？
这个防御点还是掐的很准 ...

后来bootloader说了,是先释放.dl文件,然后改名为.dll,金山拦截的是改名行为

不过我觉得金山的拦截提示还是有点问题,windows文件夹下的文件不都是系统文件

显示全部楼层 · 发表于 2012-5-14 20:55:21

qwe12301 发表于 2012-5-14 20:47
本来就是修改文件（包括文件名），不是误报。
这里提示也没有说是拦截释放啊？
这个防御点还是掐的很准 ...

突然发现一个严重问题,金山K+拦截的是对dll文件的修改,不是dl文件,而且8楼的测试中提到拦截后,进行扫描还是存在dll文件

显示全部楼层 · 发表于 2012-5-14 20:58:26

z13667152750 发表于 2012-5-14 20:50
后来bootloader说了,是先释放.dl文件,然后改名为.dll,金山拦截的是改名行为

不过我觉得金山的拦截提 ...

样本本来就直接释放的是dll

显示全部楼层 · 发表于 2012-5-14 21:26:16

00315 发表于 2012-5-14 20:58
样本本来就直接释放的是dll

10楼有hips日志,先释放了dl文件,我倒是认为日志中释放dll文件是hips误判了行为

显示全部楼层 · 发表于 2012-5-14 21:33:55

z13667152750 发表于 2012-5-14 21:26
10楼有hips日志,先释放了dl文件,我倒是认为日志中释放dll文件是hips误判了行为

看10楼，你看日志，有没有修改动作？没有吧，所以应该是楼主少复制了一个l
亲测并没有释放dl

显示全部楼层 · 发表于 2012-5-14 21:36:03

本帖最后由 z13667152750 于 2012-5-14 21:37 编辑

00315 发表于 2012-5-14 21:33
看10楼，你看日志，有没有修改动作？没有吧，所以应该是楼主少复制了一个l
亲测并没有释放dl

42楼,360杀的是dl文件

我认为10楼的日志是hips软件误将改名操作判断为创建了

而且金山拦截的是对dll文件的修改

显示全部楼层 · 发表于 2012-5-14 21:37:17

z13667152750 发表于 2012-5-14 21:36
42楼,360杀的是dl文件

我从来不怎么信任360

显示全部楼层 · 发表于 2012-5-14 21:37:54

00315 发表于 2012-5-14 21:37
我从来不怎么信任360

金山拦截的是修改dll文件,而不是创建dll文件

[可疑文件] 一个让国产杀毒集体无视的木马