我最喜欢的敲竹杠，喜欢双击的试试（61楼新到样本）

显示全部楼层 · 发表于 2014-6-3 19:17:49

zpf94 发表于 2014-6-3 19:07
61楼那个太虎了......杀软跪了一片

测试太麻烦了我写的严厉一点的自定义没法运行要一步一步的放行跟踪这个也太麻烦了话说你用默认规则也不可能跪吧只要勾选那条禁止任何程序从temp运行文件
这货我测得的首先两步是
1、读取C:\Windows\System32\msvbvm60.dll，这个没什么，很正常
2、释放可执行文件到temp文件夹 \APPDATA\LOCAL\TEMP\~DF579999BF76A38388.TMP
接下来就应该是运行这个tmp文件，由它执行操作了吧，你要勾了那条，它也动不了呗

显示全部楼层 · 发表于 2014-6-3 19:30:46

llcy 发表于 2014-6-1 15:40
金山拦截

毒霸就那么厉害吗?不是娱霸吗？

显示全部楼层 · 发表于 2014-6-3 19:40:56

carlcai 发表于 2014-6-3 19:30
毒霸就那么厉害吗?不是娱霸吗？

毒霸在某一方面可能强点，
在娱乐方面是有点，你不用、不点击就行了。

显示全部楼层 · 发表于 2014-6-3 20:00:02

柯林发表于 2014-6-3 19:17
测试太麻烦了我写的严厉一点的自定义没法运行要一步一步的放行跟踪这个也太麻烦了话说你用默认规则 ...

禁止任何程序从temp运行文件我排除了C:\Windows\**。难道是我排除太宽松了

显示全部楼层 · 发表于 2014-6-3 20:07:43

llcy 发表于 2014-6-3 19:40
毒霸在某一方面可能强点，
在娱乐方面是有点，你不用、不点击就行了。

其实安装毒霸就可以了吧。卫士的查杀木马之类的，毒霸本身也可以杀对吧。

显示全部楼层 · 发表于 2014-6-3 20:37:35

carlcai 发表于 2014-6-3 20:07
其实安装毒霸就可以了吧。卫士的查杀木马之类的，毒霸本身也可以杀对吧。

嗯是的

显示全部楼层 · 发表于 2014-6-3 20:48:01

zpf94 发表于 2014-6-3 20:00
禁止任何程序从temp运行文件我排除了C:\Windows\**。难道是我排除太宽松了

水经验二号我是纯粹按照VM001大师的指导改的...全部用API，生成的文件可能是VB缓存吧...我也不知道

推荐拦住注册表SAM的F键修改。

显示全部楼层 · 发表于 2014-6-3 22:09:36

zpf94 发表于 2014-6-3 20:00
禁止任何程序从temp运行文件我排除了C:\Windows\**。难道是我排除太宽松了

这东东有点变态的，利用dll来做事，规则到这地步已经没多大意义了，你要拦截的话，加条禁止测试对象加载net*.DLL就防住了

我用监控的方式（报告而不拦截）测到一堆读取dll的日志

我加了4条测试规则：

结果，net*.dll这条拦截后，程序报错就over了，如果你要求“防住”，加这条就行了，个人觉得没多大意义

显示全部楼层 · 发表于 2014-6-4 00:02:26

柯林发表于 2014-6-3 22:09
这东东有点变态的，利用dll来做事，规则到这地步已经没多大意义了，你要拦截的话，加条禁止测试对象加载n ...

防不胜防啊。。学习了

显示全部楼层 · 发表于 2014-6-4 10:04:33

zpf94 发表于 2014-6-4 00:02
防不胜防啊。。学习了

VSE的AD太弱，拦不到准确的动作，貌似是com接口吧（可能是Shell.users），只有不管三七二十一的拦截dll了，这个太粗燥了
另外，深山红叶说的拦截SAM注册表项，不知道有效没效
我测试的时候，默认规则差不多全开下，也没被改，只是重启，重启后还是一样进系统，日志也没有，不解

[病毒样本] 我最喜欢的敲竹杠，喜欢双击的试试（61楼新到样本）

本帖子中包含更多资源