卡 8 金身被破 进程被结束

浪滔天

卡巴 8.0.0.454 （a 补丁 ）

交互模式，默认规则下：

运行后加入低受限，出现如下提示画面：





无论点“始终阻止”还是“立即阻止”，卡巴的用户进程会被结束（系统 avp 进程还在），卡巴被关闭，并遭映像劫持，卡巴无法打开。点“终止”则没有任何问题。


自动模式，默认规则：

卡巴的用户进程和系统进程都被结束，卡巴被关闭，遭映像劫持卡巴无法打开。

在 system32 文件夹下生成 svhost.exe 和在 C:\Temp 文件下生成 nxhyb**server.exe （**为任意阿拉伯数字）




这两个生成物卡巴已入库。


在解除映像劫持后卡巴能够正常打开并运行。


以上为实机测试，有兴趣的可以进行测试验证。

[ 本帖最后由 浪滔天 于 2008-9-12 22:10 编辑 ]

The EQs

现在有能关闭KV的自保的威胁？

[ 本帖最后由 EQ2 于 2008-9-12 22:12 编辑 ]

syfwxmh

作为BUG上报到俄罗斯工程师!感谢分享样本!

fireworld

  楼主下载的是概念性病毒？

浪滔天

也是从样本区收集的，具体哪个帖子里的忘了~

挑卡巴没入库的一个个运行测试。

syfwxmh

刚才测试了一下,这个样本早就已经有了.只不过当时那个人没放出来样本而已!

这个样本的录像我在测试组发过~

The EQs

和http://bbs.kafan.cn/thread-327012-1-1.html这里的应该一样

浪滔天

原帖由 syfwxmh 于 2008-9-12 22:13 发表
作为BUG上报到俄罗斯工程师!感谢分享样本!

自动模式下两个进程都被结束也许不能算 BUG ，是卡巴自身的保护出问题了。

浪滔天

原帖由 EQ2 于 2008-9-12 22:18 发表
和http://bbs.kafan.cn/thread-327012-1-1.html这里的应该一样

不是这个 ，这个卡 8 能启发。

syfwxmh

这个样本我已经通过IM通知了卡巴工程师,并且在英文官方论坛上发布了该帖得英文版~