伤心，影子守卫竟然这么容易被穿

wxb1994

一直听说影子守卫容易被穿，就换了个最新的封装版试试。之前我是用的影子系统。

昨天脱壳时，在网上找了个查OEP的软件，捆绑了灰鸽子，当时没注意，想到重启就没了（我是在影子守卫下运行）。

今天早上打开电脑，竟然被穿了，临时装个360试试，也查不到，360专杀大全也一样，都查不到，打算发完帖后去上传。

刚才传到VirusTotal上扫描了一下，结果如下：

反病毒引擎	版本	最后更新	扫描结果
a-squared	4.5.0.24	2009.07.24	Trojan-Dropper.Win32.ExeBinder!IK
AhnLab-V3	5.0.0.2	2009.07.24	Dropper/MultiDropper.13312
AntiVir	7.9.0.228	2009.07.24	TR/Drop.ExeBin.d.13
Antiy-AVL	2.0.3.7	2009.07.24	-
Authentium	5.1.2.4	2009.07.24	W32/Dropper.QM
Avast	4.8.1335.0	2009.07.24	Win32:Hupigon-EA
AVG	8.5.0.387	2009.07.24	Downloader.Generic_r.AF
BitDefender	7.2	2009.07.25	Trojan.Dropper.Exebinder.D
CAT-QuickHeal	10.00	2009.07.24	TrojanDropper.Pakes
ClamAV	0.94.1	2009.07.25	Trojan.Dropper.ExeBinder-2
Comodo	1755	2009.07.25	TrojWare.Win32.TrojanDropper.ExeBinder.D
DrWeb	5.0.0.12182	2009.07.24	Trojan.MulDrop.605
eSafe	7.0.17.0	2009.07.23	Suspicious File
eTrust-Vet	31.6.6638	2009.07.24	-
F-Prot	4.4.4.56	2009.07.24	W32/Dropper.QM
F-Secure	8.0.14470.0	2009.07.24	Trojan-Dropper.Win32.Pakes
Fortinet	3.120.0.0	2009.07.24	W32/ExeBinder.D!tr.dr
GData	19	2009.07.25	Trojan.Dropper.Exebinder.D
Ikarus	T3.1.1.64.0	2009.07.24	Trojan-Dropper.Win32.ExeBinder
Jiangmin	11.0.800	2009.07.24	TrojanDropper.ExeBinder.e
K7AntiVirus	7.10.801	2009.07.24	Trojan-Dropper.Win32.ExeBinder
Kaspersky	7.0.0.125	2009.07.25	Trojan-Dropper.Win32.Pakes
McAfee	5687	2009.07.24	MultiDropper-CP
McAfee+Artemis	5687	2009.07.24	MultiDropper-CP
McAfee-GW-Edition	6.8.5	2009.07.25	Trojan.Drop.ExeBin.d.13
Microsoft	1.4903	2009.07.24	TrojanDropper:Win32/Exebinder.D
NOD32	4275	2009.07.24	Win32/TrojanDropper.ExeBinder.D
Norman	6.01.09	2009.07.24	W32/Pakes.QF
nProtect	2009.1.8.0	2009.07.24	-
Panda	10.0.0.14	2009.07.24	Rootkit/Fu.A
PCTools	4.4.2.0	2009.07.24	Trojan.DR.Agent.BUXX
Prevx	3.0	2009.07.25	-
Rising	21.39.44.00	2009.07.24	Dropper.ExeBinder.aa
Sophos	4.44.0	2009.07.25	Mal/GrayBird-B
Sunbelt	3.2.1858.2	2009.07.23	-
Symantec	1.4.4.12	2009.07.25	-
TheHacker	6.3.4.3.373	2009.07.24	Trojan/Dropper.Pakes
TrendMicro	8.950.0.1094	2009.07.25	-
VBA32	3.12.10.9	2009.07.24	Trojan.DownLoader
ViRobot	2009.7.24.1851	2009.07.24	-
VirusBuster	4.6.5.0	2009.07.24	Trojan.DR.Agent.BUXX

附上样本

[ 本帖最后由 wxb1994 于 2009-7-25 10:14 编辑 ]

coolife

单影子的 肯定不行啊
至少也要配一个辅助的

ssyknuwyg

灰鸽子也搞穿还原了？

fusheng9393

绝不能让病毒加载驱动！

tanlimo

昨天脱壳时，在网上找了个查OEP的软件，捆绑了灰鸽子，当时没注意，想到重启就没了（我是在影子守卫下运行）。

今天早上打开电脑，竟然被穿了，临时装个360试试，也查不到，360专杀大全也一样，都查不到，打算发完帖后去上传。

别人发影子穿透帖都是用杀软或辅助工具的扫描结果来证明穿透的结论而楼主所举的360查不到的例子是乎是在自我否定穿透的结论？那么这个贴究竟是想说明什么问题呢？影子守卫废？360废？鸽子有穿影子的功能？

[ 本帖最后由 tanlimo 于 2009-7-25 12:46 编辑 ]

wxb1994

开机加载SYSTEAN.EXE 和IEXPLORER.EXE ，这不就是说明被穿了？

至于360，我是想用它来清除病毒试试，结果扫描不到。

打算换回影子系统。

枪稿鉴定家

原帖由 coolife 于 2009-7-25 10:18 发表
单影子的 肯定不行啊
至少也要配一个辅助的

影子要用什么辅助？ 难道是影子伴侣？

沉默游侠

小红伞

ssyknuwyg

楼上2个太能了，瓦风

jon112233

等我来试试你的样本，感谢分享