再次敦促火绒重视后门类程序的监测。。。再次提供三个样本请官人高度重视！！！

显示全部楼层 · 发表于 2013-5-23 20:34:16

提示: 该帖被管理员或版主屏蔽

显示全部楼层 · 发表于 2013-5-23 20:35:52

li13911 发表于 2013-5-23 20:33
额，微点的特征解压监控就会杀的，不会是这种弹窗。你的意思就是微点故意留着监控不报，让主防的弹窗来 ...

我没这样说，但是就这几个绝对不是行为判断，因为这几个样本只有联网这一个动作，根本构不成是恶意程序的标准...

显示全部楼层 · 发表于 2013-5-23 20:36:58

flyinbed 发表于 2013-5-23 20:34
呵呵,请继续满地打滚,没必要和你继续说了

因为你拿不出足够的理由，只会一味的神话...

显示全部楼层 · 发表于 2013-5-23 20:55:35

vm001 发表于 2013-5-23 20:35
我没这样说，但是就这几个绝对不是行为判断，因为这几个样本只有联网这一个动作，根本构不成是恶意程序的 ...

行为分析也是靠特征.
现在不靠特征的真正防御只有HIPS 沙盘 UAC 组策略,还有DEP ASLR等.

显示全部楼层 · 发表于 2013-5-23 21:01:28

是黑客促进了互联网技术

显示全部楼层 · 发表于 2013-5-23 21:08:53

flyinbed 发表于 2013-5-23 20:34
呵呵,请继续满地打滚,没必要和你继续说了

显示全部楼层 · 发表于 2013-5-23 21:14:55

vm001 发表于 2013-5-23 20:14
那些样本目前就没出现什么危险行为，只有联网...因该是微点在逗吧，别神话微点了，是特征还是行为判断这一 ...

看了一下，其实还是和正常程序联网不一样的，正常程序直接就连网了，而这些样本在联网前已经有很多动作啦，可能微点在样本联网的时候触发了微点的防御，综合之前的样本动作才报的后门，其实火绒现在放过联网也会报。综上，微点不是根据特征码报的。

显示全部楼层 · 发表于 2013-5-23 21:16:03

楼主可以放过联网试试，最新版的火绒已经可以报了。

显示全部楼层 · 发表于 2013-5-23 21:18:44

li13911 发表于 2013-5-23 21:14
看了一下，其实还是和正常程序联网不一样的，正常程序直接就连网了，而这些样本在联网前已经有很多动作啦 ...

至于做什么什么动作可以用软件监控下，如果动作明显的，火绒不会不拦截，而且这几个也没有什么特殊的..
最多一点就是加个注入自身.....如果要求火绒通过这2个动作报毒的话，那么在火绒没有本地白名单的情况下，很多正常的安全软件都可能会被报毒..

显示全部楼层 · 发表于 2013-5-23 21:19:54

本帖最后由 win98sp123 于 2013-5-23 21:26 编辑

li13911 发表于 2013-5-23 21:16
楼主可以放过联网试试，最新版的火绒已经可以报了。

更新这么快啊，我2个小时前刚发的帖子，然后上传的样本。。。

补充：
火绒更新好快

[讨论] 再次敦促火绒重视后门类程序的监测。。。再次提供三个样本请官人高度重视！！！