由此样本引发的感慨

显示全部楼层 · 发表于 2012-8-7 12:18:10

xyhjxs 发表于 2012-8-7 12:07
不一定要入库的,就像上面说的可以根据特征来杀嘛.

特征码不就是入库么？

显示全部楼层 · 发表于 2012-8-7 12:38:44

xyhjxs 发表于 2012-8-7 11:43
觉得还是直接杀了的好,万一诺顿抽了就惨了.别的杀软能识别出特征直接杀了,诺顿为什么不这么做呢?留个病毒尸 ...

只要防火墙还在，只要还能动手，基本上木马出不去。要是担心，配个大蜘蛛扫描器吧

显示全部楼层 · 发表于 2012-8-7 12:40:05

经典啊嘿嘿

显示全部楼层 · 发表于 2012-8-7 12:56:50

本帖最后由 wjcharles 于 2012-8-7 13:01 编辑

xyhjxs 发表于 2012-8-7 11:43
觉得还是直接杀了的好,万一诺顿抽了就惨了.别的杀软能识别出特征直接杀了,诺顿为什么不这么做呢?留个病毒尸 ...

能直接识别出特征是需要入库的，就这类中国特色样本而言，哪个国外杀软能在第一时间入库直接特征码杀了新鲜出炉的木马？更不用说启发了。即便国内的两大卫士也做不到直接识别特征查杀，只能在一定程度上启发查杀或者加快入库速度。比如这个样本金山和360的扫描都被过了，只有360主防的网络防护报了威胁
NIS作为全球性的杀软，对这类地区性木马利用sonar无需特征入库第一时间全自动查杀，已经算不错了，当然仅指此类样本而言，其他比如中国特色的白加黑就明显不行

显示全部楼层 · 发表于 2012-8-7 13:28:10

本帖最后由尘梦幽然于 2012-8-7 13:38 编辑

xyhjxs 发表于 2012-8-7 12:07
不一定要入库的,就像上面说的可以根据特征来杀嘛.

特征分静态和动态。SONAR中的特征也分静态和动态。
而不论是静态还是动态，都要入库。包括扫描启发也需要提前输入静态特征。这个样本明显是触发了SONAR的动态特征。（如果触发静态特征的话一双击就会删除）

显示全部楼层 · 发表于 2012-8-7 13:36:12

saga3721 发表于 2012-8-7 12:06
被sonar误杀的有多少？

挺少的。
误报厉害的是信誉。

显示全部楼层 · 发表于 2012-8-7 13:41:30

wjcharles 发表于 2012-8-7 12:56
能直接识别出特征是需要入库的，就这类中国特色样本而言，哪个国外杀软能在第一时间入库直接特征码杀了 ...

如果白加黑的白文件没有被诺顿云信任，要是再利用IE外联，应该也会杀了。

显示全部楼层 · 发表于 2012-8-7 14:05:30

了解一下，不过如此让大家不放心那，而且原因无法确定

显示全部楼层 · 发表于 2012-8-7 14:10:42

呵呵..看来还是铁壳比较智能!

显示全部楼层 · 发表于 2012-8-7 14:17:11

路过，学习了。

[讨论] 由此样本引发的感慨