DG、BD、瑞星、BG主防、小a沙盘、诺顿的sonar小弟惨遭999胃泰蹂躏！OA貌似被过（更2）

UDady

wqcaokeyinwq 发表于 2012-12-17 14:16
样本区无聊闲逛。。。。

测主防要点"允许"的，看看到底能拦截到哪步，否则OA和SSF第一步就秒杀了，要入库作甚？

wqcaokeyinwq

UDady 发表于 2012-12-17 15:29
测主防要点"允许"的，看看到底能拦截到哪步，否则OA和SSF第一步就秒杀了，要入库作甚？

.......微点不是HIPS。。。。。


建议去微点区。。。看看置顶帖中。。。微点主防和HIPS的区别。。。

dljsxyls

UDady

wqcaokeyinwq 发表于 2012-12-17 15:33
.......微点不是HIPS。。。。。

不好意思，N年不用国产了只记得他们的名字和图标

wqcaokeyinwq

UDady 发表于 2012-12-17 15:39
不好意思，N年不用国产了只记得他们的名字和图标

。。。。

哦。。。能说说是什么原因放弃国产吗。。。特别是微点。。你可能也试用过。。但后来为什么放弃呢。。。

另外。。。我只是个人用户。上报的微点测试报告。。。至于放行样本的后续行为。。应该由专业的病毒工程师来分析她们。。。。

Regeneration

2012-12-17 15:44:23    创建文件   允许
进程: c:\windows\explorer.exe
目标: D:\999.dll
规则: [应用程序]c:\windows\explorer.exe -> [文件组]保护根目录

2012-12-17 15:44:48    创建文件    阻止
进程: c:\windows\system32\rundll32.exe
目标: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\runctf.lnk
规则: [应用程序组]｛受限｝系统程序 -> [文件组]全局高危文件

2012-12-17 15:44:48    修改注册表值    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1609
值: 0x00000000(0)
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\*

2012-12-17 15:44:48    修改注册表值    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1\1609
值: 0x00000000(0)
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\*

2012-12-17 15:44:48    修改注册表值    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2\1609
值: 0x00000000(0)
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\*

2012-12-17 15:44:48    修改注册表值    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\1609
值: 0x00000000(0)
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\*

2012-12-17 15:44:48    修改注册表值    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4\1609
值: 0x00000000(0)
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\*

2012-12-17 15:44:48    修改注册表值    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\2500
值: 0x00000003(3)
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\*

2012-12-17 15:44:48    修改注册表值    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1\2500
值: 0x00000003(3)
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\*

2012-12-17 15:44:48    修改注册表值    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2\2500
值: 0x00000003(3)
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\*

2012-12-17 15:44:48    修改注册表值    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\2500
值: 0x00000003(3)
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\*

2012-12-17 15:44:48    修改注册表值    阻止
进程: c:\windows\system32\rundll32.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4\2500
值: 0x00000003(3)
规则: [注册表组]浏览器相关 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\*

2012-12-17 15:44:52    创建新进程    阻止
进程: c:\windows\system32\rundll32.exe
目标: c:\program files\internet explorer\iexplore.exe
命令行: "C:\Program Files\Internet Explorer\IEXPLORE.EXE"
规则: [应用程序]*

2012-12-17 15:44:56    修改其他进程的内存    阻止
进程: c:\windows\system32\rundll32.exe
目标: c:\program files\internet explorer\iexplore.exe
规则: [应用程序]*

2012-12-17 15:45:16    创建文件 (20)    阻止
进程: c:\windows\system32\rundll32.exe
目标: C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\runctf.lnk
规则: [应用程序组]｛受限｝系统程序 -> [文件组]全局高危文件

firefox3

Regeneration 发表于 2012-12-17 15:43
2012-12-17 15:44:23    创建文件   允许
进程: c:\windows\explorer.exe
目标: D:\999.dll

用MD来虐dll是很不道德的行为

Regeneration

firefox3 发表于 2012-12-17 15:48
用MD来虐dll是很不道德的行为

-_,- 这个DLL战斗力很强- - 小试下嘛- -
脚底抹油~~~~溜之大吉

firefox3

Regeneration 发表于 2012-12-17 15:49
-_,- 这个DLL战斗力很强- - 小试下嘛- -
脚底抹油~~~~溜之大吉

开玩笑的

Regeneration

firefox3 发表于 2012-12-17 15:50
开玩笑的

在你的样本轰炸之下 目前能坚挺 没被过  的杀软  好像都没了- - 只能用用手动HIPS挽挽尊了