国庆特别帖：简单的小玩一下MSE企业版SCEP的双击！【感谢双击大师消停提供的样本】

驭龙

首先感谢双击大师@消停  提供的样本，其中有的是ZA样本，据消停说可以残掉SCEP 4.3。

为了测试最新预发行版本有没有进步，便来小测一下，如有错误，请多多包涵，我不是双击大师消停 。

我是使用五天之前的特征库，同时断网测试，避免调用DSS，SCEP 版本是4.4.207预发行版本。

压缩包解压以后，在SCEP存在的情况下，样本没有双击就被消失，SCEP 4.4仅仅报一个样本，因此我利用资源管理器调用ZIP压缩包内的文件，双击运行。

正常解压仅剩两个样本，其中一个双击报衍生物。


资源管理器直接双击压缩包样本


八个样本其中有5个ZA，以及几个蠕虫。三个样本彻底过SCEP，SCEP仅报其中一个的衍生物。

过SCEP的样本中有ZA，SCEP启动项被篡改，系统下次启动时，无SCEP系统托盘，但核心进程MsMpEng正常运行，只是无系统托盘。


其他的样本全部被SCEP灭掉，有几个是动态启发，但是有启动项残余。


这几个报了之后，SCEP无法找到威胁本体，属于自我删除本体的威胁。




启动项残余和SCEP启动项被篡改，下次启动系统无系统托盘既用户进程。


看起来SCEP 4.4确实是有进步，而且自我保护也加强了，测试结束了，MsMpEng依然健健康康。


@墨家小子  想看看ZA有没有绕过SCEP破坏防火墙和操作中心，现在我上图。

是不是一切正常？哈哈，SCEP 4.4预发行版本还是拥有不错防御的！

驭龙

墨家小子 发表于 2013-10-1 16:58
下次测试的话，ZA样本，可以的话请连带着把安全中心 系统防火墙 MSE 界面调出来，在木马运行杀软拦截之后 ...

双击期间一直开着操作中心和Windows 防火墙,双击全过程













双击结束，SCEP启动项被修改，操作中心和Windows防火墙依然健康。


人气呢？还不来一个么？呵呵

cninguy

这里几乎都没有人的呢，我来支持楼主

ywsuda

这是虐趋势和铁壳的节奏啊

驭龙

ywsuda 发表于 2013-10-1 09:42
这是虐趋势和铁壳的节奏啊

不太可能，Symantec的SONAR可是有滚回技术的，MA这家伙不行，TrendMicro开高藐视一切，MA这家伙不行

驭龙

cninguy 发表于 2013-10-1 09:33
这里几乎都没有人的呢，我来支持楼主

感谢支持

HEMM

没看大懂，那个状态找不到是怎么回事
8个样本杀了5样本了吗？

驭龙

HEMM 发表于 2013-10-1 10:37
没看大懂，那个状态找不到是怎么回事
8个样本杀了5样本了吗？

我不是说了，那种ZA是自我删除的样本，运行以后自我删除，SCEP自然是找不到文件啦，不过放心，这样的拦截也可以保护系统，另外SCEP并没有被干掉，只不过是系统托盘的启动项被篡改了

蓝核

话说回滚，我记得好像有诺顿和费尔

还有啥……

就是那种清毒了还清理注册表算么

HEMM

驭龙 发表于 2013-10-1 10:49
我不是说了，那种ZA是自我删除的样本，运行以后自我删除，SCEP自然是找不到文件啦，不过放心，这样的拦 ...

没用SCEP，那个状态 找不到，推荐操作 删除看起来= =，有点囧。
我现在好想开始用新版的，4.4的MSE快点出来吧

消停

下次再测试的时看来还要更仔细，期待微软大步前进！