最近两天的狗 .. 囧

显示全部楼层 · 发表于 2008-6-6 16:37:44

本帖最后由 107 于 2010.9.18 22:42 编辑

257 载入驱动后立刻重启（断电式的）看来跟257那个更新有关了

重启后被修改的所有文件都恢复正常＝。＝

257之前的版本不知道谁有兴趣去测下别用实机就是了

最好带个hips 检测下有哪些文件被修改过的记录下修改后的md5 重启后再核对

出处某还原软件论坛

另外果然还是想SD靠自己来防而不是靠失效就立刻重启...

[ 本帖最后由 spiha 于 2008-6-6 16:38 编辑 ]

显示全部楼层 · 发表于 2008-6-6 17:51:45

20080605U.exe.rar (14.46 KB)
在SD256下也直接重启了，没有发现任何穿透迹象……

另一个样本还没测试……

显示全部楼层 · 发表于 2008-6-6 18:07:40

The requested object is INFECTED with the following viruses: Trojan-Downloader.Win32.Agent.rjq

显示全部楼层 · 发表于 2008-6-6 18:16:39

用杀软的别乱入了。。这个还是测还原的..

小宋可以测下更旧的版本么？

显示全部楼层 · 发表于 2008-6-6 18:30:36

两个样本全测试了，均无法穿透SD256版本。

更低的版本正在测试。

显示全部楼层 · 发表于 2008-6-6 18:30:53

原帖由 spiha 于 2008-6-6 18:16 发表
用杀软的别乱入了。。这个还是测还原的..

小宋可以测下更旧的版本么？

抱歉，点进来了，总想回复点东西～～

显示全部楼层 · 发表于 2008-6-6 18:37:27

SD 1.1.237版本，运行样本后，反复出现下边这两个提示，最终我手动重启了，发现穿透，在Windows目录生成了zuni.exe文件，并且开机自启动……

截图00562.png

显示全部楼层 · 发表于 2008-6-6 18:40:06

另一样本在Windows目录下生成了wpil.exe文件，SD237同样被穿透……

显示全部楼层 · 发表于 2008-6-6 18:49:31

说过弄个简单HIPS如RVS不就省很多事，就一个驱动加载而已，能有多少弹窗困扰

我RVS就不测了，是驱动的都过不了

[ 本帖最后由 ssyknuwyg 于 2008-6-6 18:55 编辑 ]

显示全部楼层 · 发表于 2008-6-6 18:55:52

穿了237啊汗
嘛反正我有hips .. 就算PW2.6也穿不过..
只是想测测SD而已能防住驱动加载后的狗才是真功夫
驱动加载 ..第二只狗是替换beep.sys的 .. RVS未必能防..

[ 本帖最后由 spiha 于 2008-6-6 18:59 编辑 ]

[讨论] 最近两天的狗 .. 囧

Kaspersky Internet Security 2009

回复 1楼 spiha 的帖子