反驳“突破卡巴2009HIPS样本”的说明[附测试证据及样本]

显示全部楼层 · 发表于 2008-7-4 23:24:50

请大家关注卡巴交流区里的知识普及http://bbs.kafan.cn/viewthread.php?tid=282412&extra=page%3D1

今天看见样本区出现了过卡巴7，过2009HIPS的帖子。这种帖子出发点是好的，但是也请发这个帖子的作者注意一下，什么情况下才叫过~就拿过卡巴2009那个帖子来说，我从6月20日到今天一直承包测试卡巴2009立体防御，每天都会接触各种各样的病毒样本。就拿他帖子里的图片来说，那三幅图所描述的情况在6月23日，6月26日的样本中都出现过，而我们测试的时候完全是断网测试的，就不可能出现所谓下载病毒这一说法。卡巴2009版本的交互模式现在还没有一个能过的样本，当然自动模式下还是有的[全部都是归为低受限组的软件]，这不仅是卡巴，我相信所有HIPS软件都不可能轻易被过尤其是手动的HIPS，例如TF、COMODO、EQ等等。因为一个病毒的行为不仅是一个行为，是多个行为和在一起的，只要其中一个行为被拦截，该病毒就有可能失效。所以过HIPS的几率很小但不是不可能。
如果发那个帖子的会员觉得那个样本可以过卡巴2009，那么请你把你的病毒样本放出来，让我们测试，让我们自行判断。而且这里有很多HIPS高手，肯定分辨得清过还是没过。今天众多会员让你放出样本你却迟迟不放出，难免有……
希望以后所有会员发[过XXXHIPS]，麻烦附上样本，口说无凭，不能让人信服。

PS：过卡巴2009的那三幅图，测过卡巴2009的都知道那是PDM和HIPS共同作用并配合病毒库得出的图片。这就已经说明已经完全防住。而且今天和病毒测试组的成员以及测试微点的会员探讨过这个提示，我们一致认为这种情况下已经防住，当然如果你认为过卡巴2009，请你附上样本。自然会有人给你答案！

附测试证据：

PS：下载成功的截图，我没有截图。样本在附件，大家一测便知！测试时点配置生成样本！谁是谁非自然明了~
http://xiayang1221.v1.42mf.cn/0623.rar
经过我们考虑从今天开始，平常测试我们也联网测试~两幅图说明不了hips因为入库的原因~但是能说明下载成功的提示出现跟联网没关系~换句话说所谓的过hips下载病毒完全不成立~那三幅图是拦截病毒多个行为的提示

[ 本帖最后由 syfwxmh 于 2008-7-7 13:42 编辑 ]

显示全部楼层 · 发表于 2008-7-4 23:30:43

关于断网这点我们解释一下，为了避免外界影响我们都会断网测试，然后测试完成后，我们都通过第三方软件来分析日志看是否有联网或其他行为~~这样可以避免错判
经过我们考虑从今天开始，平常测试我们也联网测试~两幅图说明不了hips因为入库的原因~但是能说明下载成功的提示出现跟联网没关系~换句话说所谓的过hips下载病毒完全不成立~那三幅图是拦截病毒多个行为的提示

[ 本帖最后由 syfwxmh 于 2008-7-5 07:52 编辑 ]

显示全部楼层 · 发表于 2008-7-4 23:33:15

建议很好...
可是一个质量好的样本对于一个做病毒的来如果不那么大方...
应该不会拿出来....

显示全部楼层 · 发表于 2008-7-4 23:36:44

原帖由 电影结束了 于 2008-7-4 23:33 发表

建议很好...
可是一个质量好的样本对于一个做病毒的来如果不那么大方...
应该不会拿出来....

话是这么说，可是做病毒本身就是违法。而且如果你不放出样本，根本无法判断是不是过卡巴2009。而且从那位会员放出的图来说已经完全防住~至于后边报出病毒名称是因为那个病毒经过加壳免杀处理绕过了卡巴的启发，又因为PDM和HIPS的运行使得原型必露的结果。所以根本就不是过卡巴，而是完美的防住了，加了免杀的卡巴样本~

显示全部楼层 · 发表于 2008-7-4 23:41:28

那是过卡巴7.0的，我要的是过2009的样本

显示全部楼层 · 发表于 2008-7-4 23:57:57

我已经测试请看1楼

显示全部楼层 · 发表于 2008-7-4 23:59:20

个人认为对于下载者类的病毒来说，下载下来的东西包括下载者本身应该当做一个整体来看，而不应该只盯着下载者本身。

有的下载者会把破坏任务交给下载列表中的某个病毒来完成，例如http://bbs.kafan.cn/viewthread.php?tid=270261&highlight=帖里的样本userinit.rar 本身无穿还原能力，但是它所下载的http://png2.gacxz.net/soft10.exe确有这能力，如果测试时断开网络会使本来很精采的表演变的索然无味，这样的测试必然是不完整的也是不科学的。

[ 本帖最后由 tanlimo 于 2008-7-5 00:01 编辑 ]

显示全部楼层 · 发表于 2008-7-5 00:01:56

我们会在明天测试联网测试~感谢你的建议~这次断网测试是为了说明，根本就没有下载木马~~也就是说根本没有穿过主防

显示全部楼层 · 发表于 2008-7-5 00:15:55

都入库了……

显示全部楼层 · 发表于 2008-7-5 00:38:58

客观！赞赏一下！我要什么时候才能够做到这个呢？

[病毒样本] 反驳“突破卡巴2009HIPS样本”的说明[附测试证据及样本]

本帖子中包含更多资源

回复 5楼 J-F-F 的帖子

回复 7楼 J-F-F 的帖子

回复 9楼 tanlimo 的帖子