让大家见识一下金山的牛逼主防

vm001

样本选自样本区http://bbs.kafan.cn/thread-1416101-1-1.html
正好有几个工作人员的QQ，就顺便传给他们，然后开始测试


扫描安全


神马KVM，看来就是玩具
和QVM相比，简直就是儿科，最然这只是个例子，过kvm的多了去了，而且直到现在还是报白
毒霸不是号称云响应快吗，没看到啊

主防牛逼？那咱就运行看看，结果一步没拦截

运行中MD的监控

2012-11-23 21:20:55    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\9f6f45debf45e49d0cd4317e991513e0\9f6f45debf45e49d0cd4317e991513e0.exe
命令行: "C:\Documents and Settings\Administrator\桌面\9F6F45DEBF45E49D0CD4317E991513E0\9F6F45DEBF45E49D0CD4317E991513E0.exe"
规则: [应用程序]*

2012-11-23 21:20:56    创建文件    允许
进程: c:\documents and settings\administrator\桌面\9f6f45debf45e49d0cd4317e991513e0\9f6f45debf45e49d0cd4317e991513e0.exe
目标: C:\Documents and Settings\Administrator\Application Data\Apzo\vuiq.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2012-11-23 21:20:57    删除文件    允许
进程: c:\documents and settings\administrator\桌面\9f6f45debf45e49d0cd4317e991513e0\9f6f45debf45e49d0cd4317e991513e0.exe
目标: C:\Documents and Settings\Administrator\Application Data\Apzo\vuiq.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2012-11-23 21:20:57    创建文件    允许
进程: c:\documents and settings\administrator\桌面\9f6f45debf45e49d0cd4317e991513e0\9f6f45debf45e49d0cd4317e991513e0.exe
目标: C:\Documents and Settings\Administrator\Application Data\Apzo\vuiq.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2012-11-23 21:20:58    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\9f6f45debf45e49d0cd4317e991513e0\9f6f45debf45e49d0cd4317e991513e0.exe
目标: c:\documents and settings\administrator\application data\apzo\vuiq.exe
命令行: "C:\Documents and Settings\Administrator\Application Data\Apzo\vuiq.exe"
规则: [应用程序]*

2012-11-23 21:21:00    修改其他进程的内存 (3)    允许
进程: c:\documents and settings\administrator\application data\apzo\vuiq.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2012-11-23 21:21:03    向其他进程复制句柄    允许
进程: c:\documents and settings\administrator\application data\apzo\vuiq.exe
目标: c:\windows\explorer.exe
句柄: (Mutant) \BaseNamedObjects\{0F259C35-E835-5074-9CB8-B06D8813937F}
规则: [应用程序]*

2012-11-23 21:21:07    修改其他进程的内存    允许
进程: c:\documents and settings\administrator\application data\apzo\vuiq.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2012-11-23 21:21:10    在其他进程中创建线程    允许
进程: c:\documents and settings\administrator\application data\apzo\vuiq.exe
目标: c:\windows\explorer.exe
规则: [应用程序]*

2012-11-23 21:21:18    修改其他进程的内存    阻止
进程: c:\documents and settings\administrator\application data\apzo\vuiq.exe
目标: c:\windows\system32\vboxtray.exe
规则: [应用程序]*

2012-11-23 21:21:24    修改注册表值    允许
进程: c:\windows\explorer.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\{F2130E9E-7A9E-AD42-4D4C-554A59E77658}
值: "C:\Documents and Settings\Administrator\Application Data\Apzo\vuiq.exe"
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2012-11-23 21:21:27    修改其他进程的内存    阻止
进程: c:\windows\explorer.exe
目标: c:\windows\system32\ctfmon.exe
规则: [应用程序]c:\windows\explorer.exe

2012-11-23 21:21:31    修改其他进程的内存    允许
进程: c:\documents and settings\administrator\application data\apzo\vuiq.exe
目标: c:\documents and settings\administrator\桌面\9f6f45debf45e49d0cd4317e991513e0\9f6f45debf45e49d0cd4317e991513e0.exe
规则: [应用程序]*

2012-11-23 21:21:33    访问网络    允许
进程: c:\windows\explorer.exe
目标: UDP [本机 : 20240] ->  [99.191.25.20 : 13855]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-11-23 21:21:36    修改其他进程的内存    阻止
进程: c:\windows\explorer.exe
目标: c:\program files\malware defender\malwaredefender.exe
规则: [应用程序]c:\windows\explorer.exe

2012-11-23 21:21:37    修改其他进程的内存    允许
进程: c:\documents and settings\administrator\application data\apzo\vuiq.exe
目标: c:\documents and settings\administrator\桌面\9f6f45debf45e49d0cd4317e991513e0\9f6f45debf45e49d0cd4317e991513e0.exe
规则: [应用程序]*

2012-11-23 21:21:39    访问网络    允许
进程: c:\windows\explorer.exe
目标: UDP [本机 : 20240] ->  [193.120.96.207 : 22034]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-11-23 21:21:41    修改其他进程的内存    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\application data\apzo\vuiq.exe
规则: [应用程序]c:\windows\explorer.exe

2012-11-23 21:21:42    修改其他进程的内存    允许
进程: c:\documents and settings\administrator\application data\apzo\vuiq.exe
目标: c:\documents and settings\administrator\桌面\9f6f45debf45e49d0cd4317e991513e0\9f6f45debf45e49d0cd4317e991513e0.exe
规则: [应用程序]*

2012-11-23 21:21:43    访问网络    允许
进程: c:\windows\explorer.exe
目标: UDP [本机 : 20240] ->  [74.0.6.213 : 13905]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-11-23 21:21:45    修改其他进程的内存    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\application data\apzo\vuiq.exe
规则: [应用程序]c:\windows\explorer.exe

2012-11-23 21:21:46    向其他进程复制句柄    允许
进程: c:\documents and settings\administrator\application data\apzo\vuiq.exe
目标: c:\documents and settings\administrator\桌面\9f6f45debf45e49d0cd4317e991513e0\9f6f45debf45e49d0cd4317e991513e0.exe
句柄: (Mutant) \BaseNamedObjects\{0F259C35-E835-5074-54B7-B06D401C937F}
规则: [应用程序]*

2012-11-23 21:21:47    访问网络    允许
进程: c:\windows\explorer.exe
目标: UDP [本机 : 20240] ->  [74.0.6.213 : 13905]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-11-23 21:21:48    修改其他进程的内存    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\application data\apzo\vuiq.exe
规则: [应用程序]c:\windows\explorer.exe

2012-11-23 21:21:52    修改其他进程的内存    允许
进程: c:\documents and settings\administrator\application data\apzo\vuiq.exe
目标: c:\documents and settings\administrator\桌面\9f6f45debf45e49d0cd4317e991513e0\9f6f45debf45e49d0cd4317e991513e0.exe
规则: [应用程序]*

2012-11-23 21:21:54    访问网络    允许
进程: c:\windows\explorer.exe
目标: UDP [本机 : 20240] ->  [99.103.223.24 : 13874]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-11-23 21:21:57    访问网络    阻止并结束进程
进程: c:\windows\explorer.exe
目标: TCP [本机 : 1032] ->  [74.0.6.213 : 26867]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-11-23 21:22:00    向其他进程复制句柄    阻止并结束进程
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\application data\apzo\vuiq.exe
句柄: (Mutant) \BaseNamedObjects\{0F259C35-E835-5074-ACB7-B06DB81C937F}
规则: [应用程序]c:\windows\explorer.exe

2012-11-23 21:22:03    修改其他进程的内存    阻止并结束进程
进程: c:\documents and settings\administrator\application data\apzo\vuiq.exe
目标: c:\documents and settings\administrator\桌面\9f6f45debf45e49d0cd4317e991513e0\9f6f45debf45e49d0cd4317e991513e0.exe
规则: [应用程序]*

2012-11-23 21:22:05    访问网络    阻止并结束进程
进程: c:\windows\explorer.exe
目标: UDP [本机 : 20240] ->  [99.103.223.24 : 13874]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2012-11-23 21:22:07    创建文件    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\9f6f45debf45e49d0cd4317e991513e0\9f6f45debf45e49d0cd4317e991513e0.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\tmp769f7572.bat
规则: [文件组]所有执行文件 -> [文件]*; *.bat

我看是不用往下运行了，再下去也是个睁眼瞎
看来毒霸除了拦截远控，其他的也不过如此啊
看来星期天没人蹲点了...

rsin

我表示很支持楼主。无论此贴被不被封。但我说至少楼主是以测试是很客观的