强大的Norman Virus Control ！强大的sandbox技术！？

hzqedison

前言

Norman Virus Control 是欧洲名牌杀毒软件!操作简单,功能强大!新病毒每天尽出不穷，而您的企业可能就是下一个受害者.您需要一个专业的数据安全专家协助您防范这些风险.当发现文件受病毒感染，NVC会在破坏代码生效前立即将它隔离或删除.著名的Norman病毒扫描引擎取得重大的技术突破,在新版本中加入了革命性的SandBox诱捕技术.更有效查杀新型未知病毒,包括特洛伊木马和蠕虫.

广告

很早之前自己就做过一个绿色版本
http://hi.baidu.com/hzqedison/bl ... f8781590ef3923.html

样本

手里随便拿了一些，前几天比较流行的ok木马群，每个样本有原版（加壳）和脱壳后的

样本编号为 a0~a29 外加一个avp

ps：本次测试样本地址http://bbs.janmeng.com/thread-748678-1-1.html

扫描结果

设置选项

版本日期


基本上原版（加壳）的样本都被查杀，奇怪的是脱壳后同样的样本只用sandbox启发到了一个...

查看了那个样本的日志 sandbox还有点样子

1. ALARM:
   
2. Virus infected:
   
3. Virus name: 'W32/Hupigon.gen67.dropper' [ General information ]
   
4.     * **IMPORTANT: PLEASE SEND THE SCANNED FILE TO: ANALYSIS@NORMAN.NO - REMEMBER TO ENCRYPT IT (E.G. ZIP WITH PASSWORD)**.
   
5.     * File length:       225280 bytes.
   
6. 
   
7. [ Changes to filesystem ]
   
8.     * Creates file C:/WINDOWS/SYSTEM32/75540.dat.
   
9.     * Deletes file c:/sample.exe.
   
10.     * Creates file C:/WINDOWS/TEMP/__8009.tmp.
    
11. 
    
12. [ Changes to registry ]
    
13.     * Accesses Registry key "HKLM/Software/Microsoft/Windows/CurrentVersion".
    
14.     * Sets value "t"="003" in key "HKLM/Software/Microsoft/W
    
15. Norman Scanner Engine Information
    
16. Engine version: 5.92.06
    
17. Binary definition file: 5.92 of 2008/05/05
    
18. Macro definition file: 5.92 of 2008/04/02
    
19. Login information: User 'Administrator' on host '1ACFA6F938D24EC'.
    
20. File infected: D:/virus/ok/a0/uaO.exe

复制代码

结论讨论

Norman 杀软没有脱壳技术
Norman 杀软sandbox技术不是对每个样本都有规则，只有少部分。

总结

Norman 杀软技术还是比较落后...

PS：本次测试拿的是Norman Virus Control v5安装版本 在虚拟机环境下测试，不是自己的绿色版本

[ 本帖最后由 hzqedison 于 2008-5-6 15:06 编辑 ]

wlbol

诺曼依然不支持中文路径啊～～

Norman 杀软sandbox技术不是对每个样本都有规则，只有少部分。

是什么意思呢？？

leonfg

感觉防鸽子比较牛 其他就一般了

2823349

错,他的最大魅力在于误杀,什么QQ堂 PPM都被他杀啦

iceflag

大哥什么是做绿色版啊？

维伊

正奇乎？

zss0506

貌似用这个的人不是太多！
效果这么样，那位弄个评测出来？

The EQs

norman只有sandbox才值得YY。。。。。其余的就。。。。。还有那个鸽子的特征里面有不少是乱报。。。。

somenothing

居然是沙盘技术，哈