我不得不替作者再小看一次360的ND了

显示全部楼层 · 发表于 2012-12-12 15:03:01

启禀楼主
对于注入svchost，以服务项形式启动的木马。
只拦截数据，不结束进程……
乱动svchost会让系统崩溃的……
而且弹一次框，你选择阻止之后以后就默认阻止了，不再弹窗
否则在不杀进程的前提下，如果每次连接都弹窗，用户会烦死的～

另外，阻断的是远控数据，而非连接。所以连接会持续存在。但任何数据不会传出，远端也无法控制。

阻断远控这个目的达到了，我们即认为是拦截成功了～

显示全部楼层 · 发表于 2012-12-12 15:08:05

prawnliu 发表于 2012-12-12 15:03
启禀楼主
对于注入svchost，以服务项形式启动的木马。
只拦截数据，不结束进程……

那日志就是bug了？，或者说弹窗上的不再提示又是什么？

显示全部楼层 · 发表于 2012-12-12 16:01:52

vm001 发表于 2012-12-12 15:08
那日志就是bug了？，或者说弹窗上的不再提示又是什么？

用户已选拦截后，后续的默认拦截不再记录日志
策略就是这样的，不算bug

显示全部楼层 · 发表于 2012-12-12 16:52:23

prawnliu 发表于 2012-12-12 16:01
用户已选拦截后，后续的默认拦截不再记录日志
策略就是这样的，不算bug

那为什么其他的就会连续弹窗

不用我一种一张的截取了吧

显示全部楼层 · 发表于 2012-12-12 18:44:05

vm001 发表于 2012-12-12 16:52
那为什么其他的就会连续弹窗

我那句话是连着的……
所有的后续动作都是基于以svchost为进程的服务项为前提……
其余的该怎么弹还怎么弹……

显示全部楼层 · 发表于 2013-1-2 18:42:51

支持测试！发现问题才能更好的解决问题！

显示全部楼层 · 发表于 2013-1-2 20:04:50

zpforyou 发表于 2012-12-11 10:19
下载后就已经被360杀了已经说明文件有问题
从恢复区恢复不就是意味着用户信任文件了？

从楼主的文中，你哪点看出楼主对360报毒的文件从隔离区恢复了？或者信任了？
楼主的意思是360拦截后，病毒在退出前做了一系列动作，规避360的第一次拦截！

显示全部楼层 · 发表于 2013-1-2 20:33:42

下载后直接被360安全卫士的下载保护杀掉。

显示全部楼层 · 发表于 2013-1-4 10:37:11

mark一下。。gh0st网络包已经成特征码了，咋不改改呢。

显示全部楼层 · 发表于 2013-1-4 11:04:26

阻断服务的创建，算不算拦截远控，愚蠢的我轻轻的问。

[病毒样本] 我不得不替作者再小看一次360的ND了

本帖子中包含更多资源