再次敦促火绒重视后门类程序的监测。。。再次提供三个样本请官人高度重视！！！

显示全部楼层 · 发表于 2013-5-23 22:24:48

win98sp123 发表于 2013-5-23 22:19
看37楼，微点报的还是有道理啊。。。

见40楼，样本刚开始没有这些动作的，是联网后才有的动作，否则火绒就不会像你截图那样报了，微点在防火墙弹窗前先弹的未知后门，所以微点是有问题的

显示全部楼层 · 发表于 2013-5-23 22:27:45

li13911 发表于 2013-5-23 22:22
这些动作都是在联网后才做的，刚开始没有这些的。

哦。因为我开启迈克菲的规则晚了些，所以前面的动作没看见了。开启后就只记录了这一条下载EXE的动作，着实流氓，擦。。。

显示全部楼层 · 发表于 2013-5-23 22:28:33

jone_jys 发表于 2013-5-23 22:27
哦。因为我开启迈克菲的规则晚了些，所以前面的动作没看见了。开启后就只记录了这一条下载EXE的动作，着实 ...

不如用MD。。。

显示全部楼层 · 发表于 2013-5-23 22:29:09

win98sp123 发表于 2013-5-23 22:19
看37楼，微点报的还是有道理啊。。。

汗..调用IE去下载文件都是后门木马？

显示全部楼层 · 发表于 2013-5-23 22:30:00

vm001 发表于 2013-5-23 22:29
汗..调用IE去下载文件都是后门木马？

是啊，

显示全部楼层 · 发表于 2013-5-23 22:30:05

jefffire 发表于 2013-5-23 21:44
微点把特征码,写成"未知",冒充行为分析结果.早就被人抓到过了.
http://bbs.kafan.cn/thread-1208353-1-1 ...

你这是故意误导他人,是真不知还是假不知.微点对初次遇到的未知病毒报毒后会自动提取特征,下次再遇到这个病毒就不需要等他运行了,直接就杀.未知就是未知,微点绝对实诚.

显示全部楼层 · 发表于 2013-5-23 22:30:17

vm001 发表于 2013-5-23 20:35
我没这样说，但是就这几个绝对不是行为判断，因为这几个样本只有联网这一个动作，根本构不成是恶意程序的 ...

域名/ip 不可以是特征？

显示全部楼层 · 发表于 2013-5-23 22:31:43

本帖最后由 win98sp123 于 2013-5-23 22:32 编辑

li13911 发表于 2013-5-23 22:24
见40楼，样本刚开始没有这些动作的，是联网后才有的动作，否则火绒就不会像你截图那样报了，微点在防火墙 ...

又测试了两遍，先是联网，点击允许，然后会提示添加开机启动，这个时候，如果点阻止，样本进程自动退出，火绒不报，如果点允许开机启动，火绒弹窗报：

显示全部楼层 · 发表于 2013-5-23 22:32:19

镜湖发表于 2013-5-23 22:30
你这是故意误导他人,是真不知还是假不知.微点对初次遇到的未知病毒报毒后会自动提取特征,下次再遇到这个病 ...

这不还是那句话吗，报未知不一定就是行为分析了，你都说了，这不还是特征吗
我前面也说了，一部分的区别无非就是未知是未命名分类的，已知的是已经分类的..

显示全部楼层 · 发表于 2013-5-23 22:32:50

win98sp123 发表于 2013-5-23 21:19
更新这么快啊，我2个小时前刚发的帖子，然后上传的样本。。。

补充：

实事求是的讲：火绒是下午3点半更新的，之后并没有更新过，哪怕是库。。。

应该是在你样本出来之前，火绒已经可以拦截了的。。。

[讨论] 再次敦促火绒重视后门类程序的监测。。。再次提供三个样本请官人高度重视！！！