运行样本后，Norton 2010的表现（编辑中）

gzy_hao

这是全面测试
不仅仅代表SONAR的成绩
样本名单
http://bbs.kafan.cn/thread-538473-1-1.html
http://bbs.kafan.cn/thread-538473-1-1.html
http://bbs.kafan.cn/thread-538849-1-1.html
http://bbs.kafan.cn/thread-538853-1-1.html
http://bbs.kafan.cn/thread-538857-1-1.html
http://bbs.kafan.cn/thread-538855-1-1.html
http://bbs.kafan.cn/thread-538150-1-1.html
http://bbs.kafan.cn/thread-538698-1-1.html
http://bbs.kafan.cn/thread-450557-1-1.html  (155-157)
http://bbs.kafan.cn/thread-456834-1-1.html  (62,63)
http://bbs.kafan.cn/thread-456834-1-1.html  (168-175)
http://bbs.kafan.cn/thread-481697-1-1.html  (77,78)
http://bbs.kafan.cn/thread-537904-1-1.html
http://bbs.kafan.cn/thread-538835-1-1.html
http://bbs.kafan.cn/thread-425046-1-1.html  (166-168)
http://bbs.kafan.cn/thread-538204-1-2.html
http://bbs.kafan.cn/thread-538287-1-2.html
http://bbs.kafan.cn/thread-538740-1-2.html
http://bbs.kafan.cn/thread-538737-1-2.html
http://bbs.kafan.cn/thread-538812-1-2.html
http://bbs.kafan.cn/thread-444305-1-2.html  (213-223)
http://bbs.kafan.cn/thread-440303-1-2.html  (370-373)
http://bbs.kafan.cn/thread-436275-1-2.html  (410)
比上次多了几个

1.exe   SONAR拦截

7E5E和154F打头的两个文件（Fake AV Downloader），运行后是安装程序，到了下载那一步，都被IPS拦下
168-175，都是开iexplore，下载物都被Download Insight拦截，169、170第一次运行死机，175两次死机


387E7C1F1CB846B00D1881B09F323120.exe运行不了，无响应
813E8E8221F13063291EC114496C8C98.exe运行之后加入启动项，之后没有任何动作

8162D1FDD8CC9B6B94ACC3D953DC453E.exe运行之后提示NSIS错误

6616575D4EA6174E6FC5FB76E711F5F7.exe依旧运行不了
14016257.exe运行之后，调出cmd，也不知道有什么行为，等了10分钟，忍受不住，结束进程，再运行，提示你没有权限运行
b.exe还是运行不了
BO5731.exe运行后创建多个可疑进程，除图中的外还有setup、iexplore、net、net1，并创建服务Cryptographic by System Services

BO5732.exe基本和上一个相同，可疑进程又多了sc和at，可是iexplore运行后就无任何响应
C75D0792FBD69E09551C1D97973E790D.exe无任何响应
C76713B58715EB0225DBCD35E1093D32.exe也是加了启动项之后，无任何响应
em1[1]运行之后重启explorer，创建新的cmd，向每个进程注入264816mja.dll和fxsst.dll
刚才XueTr导致蓝屏，没截上图
g.exe加了启动项之后，启动cmd，cmd占用约20%CPU，csrss占用15%左右，然后无任何响应
h.exe加了启动项之后，无任何响应

IMG009945-4-PHOTOBUCKET.exe释出img009~1，img009~1被SONAR报出

install1.exe（Fake AV），运行后提示"Total Security 2009 successfully installed"创建以下可疑进程


install1.exe运行之后，调用cmd，也是没有影子
install.exe运行后行为与BO5731.exe一致
然后报一个仿svchost，现在Norton也有选择题可做了

lqbzse1运行ping后自我结束
说明一下，在16日时promo文件已被报为Trojan Horse，所以无法测试
promo1运行后下载a和b，a没有任何动作，一闪而过，b被SONAR拦截

因为老妈的明令禁止，测试停止
望您能谅解

[ 本帖最后由 gzy_hao 于 2009-8-20 21:44 编辑 ]

laowantong50528

不错。继续。

wudiwusuowei

不错，佩服LZ的裸机测试。

rok827

感谢分享

gsl9583306

Norton 2010，支持

lome_hekly

不错。下午继续来睇

keyds

非常不错，支持一下

272513421

加油 支持裸机测试

gzy_hao

第一，不是裸机，要不然的话测不了

在虚拟机测试的

chinajl

原帖由 gzy_hao 于 2009-8-15 13:02 发表
第一，不是裸机，要不然的话测不了

在虚拟机测试的

Yeah!!
希望LZ可以有时间定期运行测试


btw:还是不明白你说的限制是什么，应该可以发多图啊
你赶快弄明白发图，文字太枯燥了