绝对强毒！过红伞~秒杀卡巴4D防御！

wolf64

LZ后面发的图是想说明瑞星被过，还是说明eq被过了？如果是说明eq的，所有操作都允许，能拦住病毒吗？连加载驱动这么危险的行为都设置成允许，那还拦什么？这样只能说明测试者eq的规则设置得不对，不能说明 eq被过吧？应该是病毒的行动eq发现不了，或者虽然阻止了却无效，这才说明eq被过。什么拦，什么不拦 ，eq是根据使用者事先设置好的一套 规则行动的。不是升级病毒库，分析哪个是病毒，然后杀掉他。自己把拦到的危险行为设置成允许，那还用eq干什么？

[ 本帖最后由 wolf64 于 2009-2-22 19:44 编辑 ]

dl123100

原来是WPService.exe

wolf64

因为病毒动作一下子做了好几个，eq弹框换得太快 ，我只来的及截了一个图，另外加上 eq的日志记录 ，证明eq没被过。既不能创建文件 ，也不能写入注册表，病毒就废了，后面的那些加载驱动的动作根本就作不出来了。另外费尔也没过，监控关了才做得了这个实验的，不然直接监控说病毒隔离了。以上在虚拟机里。
ps:eq规则用的是happyday2老大2008年3月8日发的规则包。

[ 本帖最后由 wolf64 于 2009-2-22 20:25 编辑 ]

250662772

2009-02-22 20:25:13 文件保护(创建文件)     操作:阻止并结束进程
进程路径:C:\Documents and Settings\shaohui\桌面\举报\举报.EXE
文件路径:C:\WINDOWS\WPService.exe
2009-02-22 20:25:09 文件保护(修改文件)     操作:阻止
进程路径:C:\Documents and Settings\shaohui\桌面\举报\举报.EXE
文件路径:C:\WINDOWS\system32\drivers\beep.sys
附件是被修改的文件,eq被过是个人的原因

wolf64

卡巴8.0可以发现病毒，不过有个入库早晚的问题，这个不好判断了。

wolf64

添个费尔监控的图

说句题外话，卡巴的高限制组之类，其实是属于卡巴的hips部分，除非测试者把高限制组的规则设置得很松。不然，只要规则合适，那些动作都会被阻止。我的低限制组里的文件，连多建个自己文件夹里的文件都会被禁止，高限制组里的东西更加是寸步难行。至于eq比卡巴的hips细致得多。你的那个朋友如果真的设置成这样，只能说明，他不适合用hips，连最基本的原理他都不会运用。这些图发出来，只会误导不懂hips的人。如果是刻意把规则弄得很松，那就是自作自受，中了毒也别怨hips，好东西用成这样真是浪费。少说什么eq被过！

[ 本帖最后由 wolf64 于 2009-2-22 22:43 编辑 ]

左手

EQ挂掉？

我看是EQ kill掉了它了吧~？

2009-02-22 21:22:02    修改文件      操作:阻止并结束进程
进程路径:E:\virus\举报.exe
文件路径:C:\WINDOWS\system32\drivers\beep.sys
触发规则:应用程序规则->允许修改的程序->*.*->*\*.sys

kingmuro

过蜘蛛drweb

lsgster

过蜘蛛过卖咖啡

NobleT

to norman