fs和Symantec的监控的一些想法

gaozhinick

无聊的争论 我手头有 symantec 的正版  就是因为 觉得他的监控不行  才用上了 F-Secure 的
楼主还在这里吹嘘symantec的监控......
还有告诉楼主 我以前 AMD 3600+   
                                      DDR512MB都没觉得卡过还觉得特顺畅不知道楼主的配置 有多差 估计差得蛮夸张的

sunnyicy

找了个病毒，KAV刚入库的，FS还没来的及入库：

KAV ：Trojan-PSW.Win32.Magania.idb
FS的：W32/Malware

这个结果和我用单机版本的NORMAN的扫描结果一致，都是：W32/Malware。

并且单机版本的NORMAN同样是特征库没有检测出来，仅使用扫描，样本未被运行

而是用NORMAN自己反病毒中的SANBOX检测出来的

所以，FS的扫描和DG组件肯定用NORMAN的引擎和病毒库了，但文件监控用没用就不知道了

除非是在线扫描作弊了……

Virus W32/Malware
[ General information ]
    * **IMPORTANT: PLEASE SEND THE SCANNED FILE TO: ANALYSIS@NORMAN.NO - REMEMBER TO ENCRYPT IT (E.G. ZIP WITH PASSWORD)**.
    * Accesses executable file from resource section.
    * File length:       184320 bytes.
[ Changes to filesystem ]
    * Creates file C:\WINDOWS\2.bat.
    * Creates file C:\WINDOWS\Debug\B831406A9770.dll.
[ Changes to registry ]
    * Creates key "HKCR\CLSID\{291FABA8-CB00-488C-AC9E-B457FFC4A117}".
    * Sets value ""="fsvdf" in key "HKCR\CLSID\{291FABA8-CB00-488C-AC9E-B457FFC4A117}".
    * Creates key "HKCR\CLSID\{291FABA8-CB00-488C-AC9E-B457FFC4A117}\InProcServer32".
    * Sets value ""="C:\WINDOWS\Debug\B831406A9770.dll" in key "HKCR\CLSID\{291FABA8-CB00-488C-AC9E-B457FFC4A117}\InProcServer32".
    * Sets value "ThrEaDiNgModEL"="aPaRTmEnT" in key "HKCR\CLSID\{291FABA8-CB00-488C-AC9E-B457FFC4A117}\InProcServer32".
[ Network ]
    * Hooks into Shell explorer.
[ Process/window information ]
    * Creates a mutex 2B75625A.

[ 本帖最后由 sunnyicy 于 2008-3-27 17:05 编辑 ]

albertmars

gaozhinick，真不想骂你傻X，可你好象真是！监控你懂不？你说的不行是有毒不杀把？有毒不杀不代表监控不行，看看我们讨论什么你再说话！卡的问题你看没看我说什么？对某些可执行文件有卡机现象！你没卡说明你没遇到让你卡的文件，你在那炫耀什么？

vsirius

原帖由 albertmars 于 2008-3-27 17:18 发表
gaozhinick，真不想骂你傻X，可你好象真是！监控你懂不？...

无论所持观点如何，大家心平气和讨论是可以；但请注意不要言语过激和涉及人身攻击。

口头警告一次，此帖先关闭了。