bingc提供的url_bbs.exe病毒在NIS2009下测试

显示全部楼层 · 发表于 2009-7-31 20:58:29

bingc同学的说明贴：http://bbs.kafan.cn/thread-529633-1-1.html
样本区的病毒：http://bbs.kafan.cn/viewthread.php?tid=529649

跟我前几天上传和测试应该是同类病毒，不同的可能是产业链下定制的差别。
上传到样本区的贴：http://bbs.kafan.cn/thread-528032-1-1.html
http://bbs.kafan.cn/thread-529022-1-1.html

测试贴：http://bbs.kafan.cn/thread-529012-1-1.html //NIS 2009 SONAR ONLY
http://bbs.kafan.cn/thread-529722-1-1.html //NIS 2010 (.105) SONAR

两个病毒文件不一样，但最初释放的衍生物和动作是一样的

文件: E:\v\url_bbs1.exe
大小: 15360 字节
修改时间: 2009年7月28日, 20:44:37
MD5: F46061F9F5EFF729FCE2E22F272E26D9
SHA1: EA507A16983C349DCE4E2E935407681F9CE26EF3
CRC32: 35FA9D76

文件: E:\v\url_bbs2.exe //bingc上传的
大小: 15360 字节
修改时间: 2009年7月30日, 0:31:10
MD5: 6D5947F0262FD0E462D4B96B908B137A
SHA1: C4F202F326F756F667E99A30B316B81516058C15
CRC32: A9CEB227

==================================================简约的分割线===================================

测试开始，NIS2009没有拦截url_bbs.exe，但其释放物被识别并且隔离。

战斗结束

上面的病毒文件和注册表项目，启动后清理。

查看相关项目没有问题，上两个图
内核

IEFO项目

病毒生成的服务改为手动，NIS2009删除了.dll文件，服务是无法启动，不过没有删除这个隐藏服务，不影响安全。

补充说一句，衍生物清理后，url_bbs.exe也被消灭了，但是在NIS的历史记录里是找不到记录

肯定不是自动防护的病毒定义识别后删除，也不肯定是SONAR做的，因为没有SONAR的相关记录

End>>

[ 本帖最后由 chinajl 于 2009-7-31 21:07 编辑 ]

显示全部楼层 · 发表于 2009-7-31 21:00:34

呵呵，看来 2010 和 2009 除了界面，还是有所不一样的。

显示全部楼层 · 发表于 2009-7-31 21:02:07

诺顿的清理真是个双刃剑，不过别人也很难做到...

显示全部楼层 · 发表于 2009-7-31 21:02:30

你！抢了我的沙发

显示全部楼层 · 发表于 2009-7-31 21:02:48

晕倒，一晃眼变5楼了

显示全部楼层 · 发表于 2009-7-31 21:06:18

帖数又多起来了[:26:]

显示全部楼层 · 发表于 2009-7-31 21:14:16

借此帖提个问题，这个诺顿的提示是不是有问题

"SONAR已已删除……"

显示全部楼层 · 发表于 2009-7-31 21:19:49

支持一下!辛苦了!

显示全部楼层 · 发表于 2009-8-1 08:23:17

原帖由 hansyu 于 2009-7-31 21:14 发表
借此帖提个问题，这个诺顿的提示是不是有问题
"SONAR已已删除……"
593179

看不出。有问题吗

显示全部楼层 · 发表于 2009-8-1 08:44:37

哈哈、不错

[原创] bingc提供的url_bbs.exe病毒在NIS2009下测试

本帖子中包含更多资源

评分

回复 2楼 Atlantis祭司的帖子

本帖子中包含更多资源

[原创] bingc提供的url_bbs.exe病毒在NIS2009下测试

本帖子中包含更多资源

评分

回复 2楼 Atlantis祭司 的帖子

本帖子中包含更多资源

回复 2楼 Atlantis祭司的帖子