不知道是不是 CryptoWall 3.0（双击有人气）

驭龙

wangfeng66 发表于 2015-10-31 20:52
刚重新测试了一次。DRWEB  完美拦截。病毒会修改内存注入IE 这些行为OP放行后。DPH发威 Kill 看图

@ ...

明明是简单的Ramnit，居然需要动用DPH，看来DrWeb的VFE已经跟不上潮流了

天耀群星

2015/10/31 21:28:05    修改文件    阻止
进程: c:\users\ljx\desktop\c26279\c26279.exe
目标: C:\Users\ljx\Desktop\c26279\c26279.exe
规则: [应用程序组]待测试组-未知程序       ????? -> [应用程序]c:\users\ljx\desktop\c26279\c26279.exe -> [文件]c:\users\ljx\desktop\c26279; c26279.exe

230f4

天耀群星 发表于 2015-10-31 21:36
2015/10/31 21:28:05    修改文件    阻止
进程: c:%users\ljx\desktop\c26279\c26279.exe
目标: C:%user ...

这是哪个hips软件？

天耀群星

230f4 发表于 2015-10-31 21:37
这是哪个hips软件？

malware defender 简称MD。

wangfeng66

驭龙 发表于 2015-10-31 21:30
明明是简单的Ramnit，居然需要动用DPH，看来DrWeb的VFE已经跟不上潮流了

样本Dr杀。我是在测试DPH。关闭监控运行病毒。

驭龙

wangfeng66 发表于 2015-10-31 22:08
样本Dr杀。我是在测试DPH。关闭监控运行病毒。

只是报的壳而已，DrWeb根本没有识别这个Ramnit

nick20010117

驭龙 发表于 2015-11-1 08:14
只是报的壳而已，DrWeb根本没有识别这个Ramnit

DPD应该可以杀吧

驭龙

nick20010117 发表于 2015-11-1 21:07
DPD应该可以杀吧

明明可以脱壳，为何要动用内存检测？不是么？

nick20010117

驭龙 发表于 2015-11-2 08:24
明明可以脱壳，为何要动用内存检测？不是么？

他不是只能报壳吗

驭龙

nick20010117 发表于 2015-11-2 19:07
他不是只能报壳吗

我的意思是说，其他软件都能识别壳内的Ramnit，DrWeb却只是报壳，这就说明DrWeb没有把这个样本脱壳成功，如果成功的话，就会报Ramnit而不是壳了