超强破坏性病毒 学校电脑因此OVER

Nocria

消停 发表于 2012-5-22 14:40
idp不是会调用特征码吗？

IDP 特征码和病毒库特征码应该是相互独立的。
因此样本即使已入库，也不影响 IDP 的判断。

消停

humanlwj52 发表于 2012-5-22 15:41
IDP 特征码和病毒库特征码应该是相互独立的。
因此样本即使已入库，也不影响 IDP 的判断。

有一篇帖子说用上带病毒库的idp的方法，这样看来似乎就没必要这么做了！

Nocria

消停 发表于 2012-5-22 15:44
有一篇帖子说用上带病毒库的idp的方法，这样看来似乎就没必要这么做了！

我没有看过这个帖子。
不过我感觉 AVG 现有的机制已经是很合理了，因为 AVG 的查杀率基本还维持在比较高的水平，IDP 像目前这样维持辅助作用的地位已经是足够了。

wjcharles

消停 发表于 2012-5-22 12:14
完整路径: 不可用
____________________________
____________________________

双击sonar杀。。。中午测的


完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012/5/22 ( 13:50:27 )
上次使用时间 2012/5/22 ( 13:50:27 )
启动项目 否
已启动 是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________


源文件:
winrar.exe

创建的文件:
afp_johor.exe
____________________________
文件操作
受感染文件: c:\users\sshss\downloads\afp_johor (1)\afp_johor.exe
已删除
____________________________
系统设置操作
事件: 进程启动 (执行者 c:\users\sshss\downloads\afp_johor (1)\afp_johor.exe, PID:14960)
未采取操作
事件: PE 文件创建: c:\Users\ssHss\AppData\Local\Temp\E_N4\krnln.fnr (执行者 c:\users\sshss\downloads\afp_johor (1)\afp_johor.exe, PID:14960)
未采取操作
事件: PE 文件创建: c:\Users\ssHss\AppData\Local\Temp\E_N4\shell.fne (执行者 c:\users\sshss\downloads\afp_johor (1)\afp_johor.exe, PID:14960)
未采取操作
事件: PE 文件创建: c:\Users\ssHss\AppData\Local\Temp\E_N4\spec.fne (执行者 c:\users\sshss\downloads\afp_johor (1)\afp_johor.exe, PID:14960)
未采取操作
事件: PE 文件创建: c:\Users\ssHss\AppData\Local\Temp\E_N4\eAPI.fne (执行者 c:\users\sshss\downloads\afp_johor (1)\afp_johor.exe, PID:14960)
未采取操作
事件: PE 文件创建: c:\Users\ssHss\AppData\Local\Temp\E_N4\iext.fnr (执行者 c:\users\sshss\downloads\afp_johor (1)\afp_johor.exe, PID:14960)
未采取操作
事件: PE 文件创建: c:\Users\ssHss\AppData\Local\Temp\afp_johor.exe (执行者 c:\users\sshss\downloads\afp_johor (1)\afp_johor.exe, PID:14960)
未采取操作
____________________________
可疑操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\afp_johor (1)\afp_johor.exe, PID:14960)
未采取操作
____________________________
文件指纹 - SHA:
d3f995aaa8e791067f1825cd057c71fa8153e77ad964eea1d603fce39111ecf2
____________________________
文件指纹 - MD5:
670e1067be45f6f05842dbf36ac7d01c
____________________________

消停

wjcharles 发表于 2012-5-22 16:15
双击sonar杀。。。

我下载智能分析提示删除，但文件还在，日记记录的是未尝试修复，于是我双击了一下，结果被下载智能分析删掉了，所以没轮到sonar出场，本想绕过下载智能分析来着，结果忘了。看来sonar是没有压力的！

wjcharles

消停 发表于 2012-5-22 16:18
我下载智能分析提示删除，但文件还在，日记记录的是未尝试修复，于是我双击了一下，结果被下载智能分析删 ...

我是中午测的，手动绕过了下载分析
现在下载分析经常这样，双击才反应
看后面3点多的发帖云端已经入库了。。。

evilbat123

wenjian312 发表于 2012-5-22 13:19
你双击了吗？我这监控杀掉以后一切正常

乃用的是AVG免费版嘛。。。
看见了。。有firewall 不是免费的

saga3721

也就一个CMD流

File ID         Filename         Size (Byte)        Result
26905664         Afp_JoHor.rar        998.26 KB        OK
A listing of files contained inside archives alongside their results can be found below:
File ID         Filename         Size (Byte)        Result
26905665         Afp_JoHor.exe         5.12 MB         UNDER ANALYSIS

wenjian312

evilbat123 发表于 2012-5-22 16:29
乃用的是AVG免费版嘛。。。
看见了。。有firewall 不是免费的

套装的，免费3个月

驴肉火烧

老虎猫 发表于 2012-5-22 11:59
对毛豆来说是小菜一碟！AV  部分都无压力！

看你在用毛豆套装嘛，毛豆查杀如何