瑞星所特有的内存查杀的可行性技术分析（图文并茂，详细讲解，欢迎测试）

迷惘依然

靠，你们看我的说明了吗？？？晕死，这个木马是不会释放DLL文件和SYS文件的，只是释放自身而已，连MD5都没有变，郁闷死啊。。。。。。。。

法外制裁者

谁测试下这个样本是否释放了dll？

zhuyu14

VirSCAN.org Scanned Report :
Scanned time   : 2009/04/05 13:11:28 (CST)
Scanner results: 38%的杀软(14/37)报告发现病毒
File Name      : 服务端99999.exe
File Size      : 595456 byte
File Type      : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5            : 170aec514eb43d0eb7e74279bf006354
SHA1           : b48ca4323592ac3d7e646b03b3d6b40bddb63258
Online report  : http://virscan.org/report/245d20c6ae2aec1ae57fe0517521918e.html

Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.0.0.32        20090404223124    2009-04-04  1.86   Trojan-Dropper.Agent!IK
安博士V3       2009.04.05.00   2009.04.05        2009-04-05  0.86   Win-Trojan/Buzus.644096
AntiVir        7.9.0.138       7.1.3.13          2009-04-03  1.98   BDS/Hupigon.Gen
安天           2.0.18          20090405.2276952  2009-04-05  0.12   -
Authentium     5.1.1           200904042128      2009-04-04  1.38   W32/NewMalware-LSU-based!Maximus (Heuristic)
AVAST!         3.0.1           090404-0          2009-04-04  0.04   -
AVG            7.5.52.442      270.11.41/2041    2009-04-04  2.07   -
BitDefender    7.81008.2828838 7.24617           2009-04-05  2.62   Backdoor.Hupigon.33267
CA (VET)       9.0.0.143       31.6.6435         2009-04-04  3.88   -
ClamAV         0.95            9203              2009-04-04  0.09   Trojan.Hupigon-23581
Comodo         3.8             1099              2009-04-04  1.88   -
CP Secure      1.1.0.715       2009.04.04        2009-04-04  8.01   BackDoor.W32.Huigezi.E
Dr.Web         4.44.0.9170     2009.04.05        2009-04-05  4.37   BackDoor.Pigeon.13165
F-Prot         4.4.4.56        20090404          2009-04-04  1.41   Possible W32/NewMalware-LSU-based!Maximus
F-Secure       5.51.6100       2009.04.04.01     2009-04-04  0.14   -
飞塔           2.81-3.117      10.245            2009-04-04  0.26   -
GData          19.4416/19.288  20090405          2009-04-05  5.84   -
ViRobot        20090403        2009.04.03        2009-04-03  1.19   -
Ikarus         T3.1.01.49      2009.04.04.72525  2009-04-04  2.98   Trojan-Dropper.Agent
江民杀毒       11.0.706        2009.04.05        2009-04-05  2.66   Backdoor/Huigezi.2008.ylq
卡巴斯基       5.5.10          2009.04.05        2009-04-05  0.12   -
金山毒霸       2009.2.5.15     2009.4.4.21       2009-04-04  1.74   Win32.Hack.Huigezi.gr.644608
迈克菲         5.3.00          5574              2009-04-04  3.01   -
Microsoft      1.4502          2009.04.05        2009-04-05  4.93   -
mks_vir        2.01            2009.04.04        2009-04-04  2.76   -
Norman         6.00.06         6.00.00           2009-04-03  10.01  -
熊猫卫士       9.05.01         2009.04.04        2009-04-04  2.06   -
趋势科技       8.700-1004      5.944.02          2009-04-03  0.04   -
Quick Heal     10.00           2009.04.04        2009-04-04  3.49   -
瑞星           20.0            21.23.40.00       2009-04-03  3.19   -
Sophos         2.85.0          4.40              2009-04-05  2.07   -
Sunbelt        5078            5078              2009-04-04  1.25   -
赛门铁克       1.3.0.24        20090404.003      2009-04-04  0.11   -
nProtect       20090405.01     3421135           2009-04-05  5.17   Backdoor/W32.Hupigon.644096.AN
The Hacker     6.3.4.0         v00302            2009-04-04  0.83   -
VBA32          3.12.10.2       20090404.1354     2009-04-04  3.46   Backdoor.XiaoBird.52 (paranoid heuristics) (suspicious)
VirusBuster    4.5.11.10       10.102.33/1210066 2009-04-04  2.14   -

医学家

顶起，任何一款软件我们都不能妄加评论。不能光看表面，应该以一种纯技术的观点来评价

佰恋雨

你这没意义....
虚拟机试下...可惜没瑞星..

Atlantis祭司

样本呢？

楼主可以发到病毒样本区，不过还请贴下地址。

asinasina

既然没有释放DLL的，瑞星报DLL，这个说明什么？

迷惘依然

原帖由 asinasina 于 2009-4-5 13:20 发表
既然没有释放DLL的，瑞星报DLL，这个说明什么？

晕，你没看到这个病毒是用IE进行启动的吗？？？IE项下面当然有N个DLL了。。。。。。。。。。。。

woshijiqiren

还没读完就删除样本了

金色飞龙

学习了