其实刚才那个远控样本应该算是穿破了MD（个人看法）

vm001

过360主防的测试
http://bbs.kafan.cn/thread-1493298-1-1.html

还是刚才那个
http://bbs.kafan.cn/thread-1493194-1-1.html

这是MD运行记录


2013-3-9 22:12:05    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\价格表1.00\spy.exe
命令行: "C:\Documents and Settings\Administrator\桌面\价格表1.00\spy.exe"
规则: [应用程序]*

2013-3-9 22:12:23    创建文件    允许
进程: c:\documents and settings\administrator\桌面\价格表1.00\spy.exe
目标: C:\Program Files\BaoFeng\StormPlayer.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2013-3-9 22:12:30    创建文件    允许
进程: c:\documents and settings\administrator\桌面\价格表1.00\spy.exe
目标: C:\Program Files\BaoFeng\StormPlayer.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-3-9 22:12:33    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\价格表1.00\spy.exe
目标: c:\windows\system32\rundll32.exe
命令行: "C:\WINDOWS\system32\rundll32.exe" C:\WINDOWS\system32\shimgvw.dll,ImageView_Fullscreen C:\Documents and Settings\Administrator\桌面\价格表1.00\xxx.bmp
规则: [应用程序]*

2013-3-9 22:12:38    修改文件    允许
进程: c:\documents and settings\administrator\桌面\价格表1.00\spy.exe
目标: C:\Documents and Settings\Administrator\桌面\价格表1.00\spy.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-3-9 22:12:40    创建文件    允许
进程: c:\documents and settings\administrator\桌面\价格表1.00\spy.exe
目标: C:\Program Files\Win4562640.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-3-9 22:12:49    访问网络    允许
进程: c:\documents and settings\administrator\桌面\价格表1.00\spy.exe
目标: TCP [本机 : 1280] ->  [14.210.222.180 : 630]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2013-3-9 22:12:54    访问网络    允许
进程: c:\documents and settings\administrator\桌面\价格表1.00\spy.exe
目标: TCP [本机 : 1281] ->  [14.210.222.180 : 630]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2013-3-9 22:13:09    访问网络    允许
进程: c:\documents and settings\administrator\桌面\价格表1.00\spy.exe
目标: TCP [本机 : 1282] ->  [14.210.222.180 : 630]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

之后MD就哑火了

为什么要说穿破了MD，以上这些都允许，允许的原因就是模拟一般用户拿到一个程序总得让他运行吧..
看运行到这里的现象

Win4562640.exe的启动和联网MD没有监视到





怀疑这个样本针对不同防护软件做了几种启动方式
如果现运行样本然后再安装MD可以看到是这样的
现象和在360卫士环境中运行一致


当然这些都是看到的表面和个人的看法

唯我独尊

启动进程应该会被检测到的吧

imetoo

关注