贝壳使用感受及建议（最近测试，新病毒响应时间50分钟）,解除误报，欢迎大家测试

显示全部楼层 · 发表于 2009-8-1 19:54:30

最后只剩下如图，这个文件才上传了不长时间。
其余5个样本区下载的文件，发现4个病毒，另一个大概被贝壳识别为安全的了。这次上报后处理大概为50分钟。加油啊，可爱的贝壳

[ 本帖最后由 SONGLEI 于 2009-8-1 20:02 编辑 ]

显示全部楼层 · 发表于 2009-8-1 20:09:10

又扫描了一下，楼上的那个CHROME.DLL的未知消失，至此，全部处理完毕。
剩下那个“北京话超猛普通话.EXE"被报为安全,这个看上去太像病毒,等会我用DW运行一下看看,
感觉像误报了,所以,贝壳需要一个直接报送疑似误报文件到人工分析的按钮

显示全部楼层 · 发表于 2009-8-1 20:16:19

用DW运行了一下,截了3个主要的日志, 其行为是病毒无疑

显示全部楼层 · 发表于 2009-8-1 20:22:51

最后去C:\WINDOWS\system32\config文件夹检查,并没有发现生成那个A.EXE
被DW自动阻止了。病毒调用的系统进程WSCRIPT.EXE也被DW自动终止。病毒行为结束，不知道下面的行为是什么，但肯定是误报为安全了。

晕死了，这个文件，3号上传扫描只有1个杀软报。难道冤枉了贝壳。可明明它无交互界面释放可执行文件A.EXE。行为太像病毒，难道是个无害的病毒？为免损害贝壳的声誉，暂去掉误报。

[ 本帖最后由 SONGLEI 于 2009-8-3 09:25 编辑 ]

显示全部楼层 · 发表于 2009-8-1 20:23:33

是不是被隔离了

显示全部楼层 · 发表于 2009-8-1 20:25:40

原帖由 mychris 于 2009-8-1 20:23 发表
是不是被隔离了

被DW阻止生成那个A.EXE, 并被DW自动终止了进程, 病毒行为结束了, 没被隔离.

显示全部楼层 · 发表于 2009-8-1 20:35:38

如果打算看对新文件的处理速度建议自己对程序简单加一个 UPX 壳或者做一些不影响执行的修改

确保是个 "独一无二的新文件"

显示全部楼层 · 发表于 2009-8-1 20:47:55

原帖由 挪威的冬天 于 2009-8-1 20:35 发表

如果打算看对新文件的处理速度建议自己对程序简单加一个 UPX 壳或者做一些不影响执行的修改

确保是个 "独一无二的新文件"

不好意思。没有这类工具，也不会加壳。只是凭着兴趣，在样本区捡一些报得比较少并且金山也不报的样本，姑且认为是贝壳服务器没有样本数据，全新分析的。
欢迎有能力的人继续测试

显示全部楼层 · 发表于 2009-8-1 22:23:19

kafanlist0801 经过Duba09 处理后用贝壳的结果(20个木马, 7个认为无威胁):

20 个木马:

查杀后残余物(认为无威胁)

[ 本帖最后由 Osment 于 2009-8-1 22:33 编辑 ]

显示全部楼层 · 发表于 2009-8-2 09:15:13

原帖由 Osment 于 2009-8-1 22:23 发表
kafanlist0801 经过Duba09 处理后用贝壳的结果(20个木马, 7个认为无威胁):

20 个木马:
593850

查杀后残余物(认为无威胁)
593856

恩，机器自动分析误报在所难免。需要改进，最好提供个一键上报人工分析的按钮。

这7个可能的误报你怎么处理的？

还有，你那边处理需要多长时间？

[ 本帖最后由 SONGLEI 于 2009-8-2 09:16 编辑 ]

[讨论] 贝壳使用感受及建议（最近测试，新病毒响应时间50分钟）,解除误报，欢迎大家测试

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

回复 84楼 SONGLEI 的帖子

本帖子中包含更多资源