自认为NOD32所谓虚拟机启发很强的来试试

显示全部楼层 · 发表于 2008-1-30 13:07:33

这是昨天一位朋友给我的小瓢虫病毒

我经过脱壳修改特征后,成功在静态扫描下

通过NOD32的最高启发。

刚把影子系统开到全盘保护下。开NOD32的监控。。运行了修改后的病毒。。

机器马上变卡.开始感染PE文件。所有盘开共享。。等等。。

杀软授权失效。。。重起机器后。。虽然感染PE和文件共享都没看到了

但时间被改成了2030年。。卡巴/NOD32/费尔均显示无授权。。

想测试的自己在虚拟机里弄吧

2楼附样本

[ 本帖最后由 cici584522 于 2008-1-30 13:12 编辑 ]

显示全部楼层 · 发表于 2008-1-30 13:08:01

样本在此

显示全部楼层 · 发表于 2008-1-30 13:09:59

我昨天在sandboxie中运行了
除了时间被改没有恢复外其他都恢复了

显示全部楼层 · 发表于 2008-1-30 13:11:54

原帖由 woai_jolin 于 2008-1-30 13:09 发表
我昨天在sandboxie中运行了
除了时间被改没有恢复外其他都恢复了

刚检查了下。。时间改回来就可以了

别的没啥问题。不用重做系统了

显示全部楼层 · 发表于 2008-1-30 13:13:14

原帖由 cici584522 于 2008-1-30 13:11 发表

刚检查了下。。时间改回来就可以了

别的没啥问题。不用重做系统了

重做系统很没有必要

显示全部楼层 · 发表于 2008-1-30 13:28:18

很无聊的一个贴子…………能说明什么问题？！

场景设置1：
LZ应该在别的区也做相应的样本出来－－“自认为卡吧所谓主防很强的来试试”;“自认为咖啡所谓规则很强的来试试”;“自认为 F-Secure所谓的多引擎很强的来试试”…………等等，不一而足，LZ的目的就达到了，于是乎，有人就高呼LZ为强人“强悍的LZ，请问要用什么杀软呢？”LZ曰“别担心，我会骑着白马，挥舞着宝剑，一路劈荆斩棘，用最优秀的小XX将尔等拯救”。最后杀软XXX和LZ幸福的生活在了一起。

显示全部楼层 · 发表于 2008-1-30 13:29:56

偶不喜欢以身试毒呵呵

显示全部楼层 · 发表于 2008-1-30 13:30:13

原帖由 billy_xx 于 2008-1-30 13:28 发表
很无聊的一个贴子…………能说明什么问题？！

场景设置1：
LZ应该在别的区也做相应的样本出来－－“自认为卡吧所谓主防很强的来试试”;“自认为咖啡所谓规则很强的来试试”;“自认为 F-Secure所谓的多引 ...

关键是有人把NOD所谓的启发说的神呼其神

显示全部楼层 · 发表于 2008-1-30 13:33:24

原帖由 cici584522 于 2008-1-30 13:30 发表

关键是有人把NOD所谓的启发说的神呼其神

任何查杀技术都会有漏洞
就如还原软件机械狗就可以过
这是不是说明还原软件就是鸡肋
就像我说的没有那个杀软没有免杀
改特征可以过启发那是不是证明启发技术就是鸡肋
lz不能以偏概全

[ 本帖最后由 woai_jolin 于 2008-1-30 13:34 编辑 ]

显示全部楼层 · 发表于 2008-1-30 13:34:13

难道 eset 这么多年宣称的仿真器就因为这个样本而被肯定不存在了么 ?
这个只能说明nod的高启发( 特指未知PE病毒 )可以被过.

cici 的视线应该转移到BD上 , 有机会找个BD报behave的样本给你..
不过估计比较不好找.

[原创] 自认为NOD32所谓虚拟机启发很强的来试试

本帖子中包含更多资源