迈克菲的右扫，月神。。。。

jone_jys

之前的姊妹篇：
http://bbs.kafan.cn/thread-1503208-1-1.html

今天下了几个样本，结果误点了，汗。。。。

原本是想右键‘扫描危险’的，结果却点成‘以管理员运行’了，  狂汗。。。。

样本确实为后门程序，因为双击后会自动调用IE去下载东东，而且运行后会自动删除源文件。 幸好最后想起来启用规则了，还是启用晚了几拍，才拦截一条日志。。

2013/5/23        20:24:06        已由访问保护规则禁止         jone-PC\jone        C:\Windows\system32\taskmgr.exe        \REGISTRY\USER\S-1-5-21-1309819620-4027063736-2941051940-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\AutoDetect        防间谍程序标准保护:保护 Internet Explorer 收藏夹和设置        已阻止的操作: 创建

目标扫描最开始设置的月神等级为“高”，右扫没有出现病毒； 后来把目标扫描的月神等级调为“最高”，解压缩包后，右扫后月神可以报了，选择‘继续’（忽略）后问题就出来了。。。。

当我再次把月神等级调回“高”后右扫（当然不会报的）再调为“最高”后，右扫时月神却怎么也不报了？

网络绝对是畅通的，疑问是：难道月神报过一次后就不会再报了么？这样不科学呀，因为即使缓存的话，因为第一次是报毒了，那么缓存后没理由不报了呀。。。。

等级调试顺序为： （目标扫描月神等级）
最初为：高（右扫不报）-------------最高（右扫报）--------------高（右扫不报）------------最高（右扫不报了）。。。。

再次呼吁：
试毒有风险，测试须谨慎。。。

有兴趣的童鞋可以测试一下
样本地址：http://bbs.kafan.cn/thread-1573081-1-1.html


刚发现另一个问题，补充一下：

如果是同一个样本，在A位置右扫月神会报毒，如果把这个样本复制到B位置，右扫去不报了？？有点不解了。。。

sogou2004

监控、右键月神均为最高
右键不报
解压立即报

rlx

文件放到新的位置右键的月神又是低了   你专门建一个文件夹 然后专门新建一个月神最高的扫描  这样就行了

jone_jys

rlx 发表于 2013-5-23 23:23
文件放到新的位置右键的月神又是低了   你专门建一个文件夹 然后专门新建一个月神最高的扫描  这样就行了

不是这样的，，，，

目标扫描设置成最高月神后，另存为默认值即可。以后的每次右扫都会按照“最高”月神标准，这个设置之前就有提到过的。。。

jone_jys

sogou2004 发表于 2013-5-23 22:43
监控、右键月神均为最高
右键不报
解压立即报

可以看看1楼的姊妹篇帖子。。。

因为你监控是“最高”了，所以解压立马报，至于右扫，如果你是没解压前扫压缩包的话是不会报的，因为右扫默认不扫压缩包。

蓝核

果然……爱一个人越深……黑的冲动越大……
好吧……前几天fs的实验我也才做过……

gy123

蓝核 发表于 2013-5-23 23:37
果然……爱一个人越深……黑的冲动越大……
好吧……前几天fs的实验我也才做过……

不亏是蓝核大大，VSE不是你觉得不错么，哪天看你黑

蓝核

gy123 发表于 2013-5-24 00:45
不亏是蓝核大大，VSE不是你觉得不错么，哪天看你黑

我记得我黑过……明天qq说

jone_jys

蓝核 发表于 2013-5-24 00:46
我记得我黑过……明天qq说

应该不能说是黑吧，我认为所谓的黑是指无端的进行指责。。。
而实际上是指出其美中不足之处。

【个人觉得不管从神马角度，迈克菲的综合评分应该都是名列前茅的】

sogou2004

jone_jys 发表于 2013-5-23 23:31
可以看看1楼的姊妹篇帖子。。。

因为你监控是“最高”了，所以解压立马报，至于右扫，如果你是没解压前 ...

右键扫描要扫描压缩包
我经常右键杀出毒来