测hips行为拦截

显示全部楼层 · 发表于 2007-2-25 13:53:23

downloader1.rar:
运行as.exe，被SSM拦截，尝试获取网络存取权限61.219.38.89，
就是www.hinet.net这个台湾网站。

显示全部楼层 · 发表于 2007-2-25 14:13:24

gssBypassed.rar:
运行ccm.exe，在windows目录建立ccm.exe文件被winpooch拦截，修改注册表建服务WindowsCcm被SSM拦截

显示全部楼层 · 发表于 2007-2-25 14:17:12

killdisk能挡的有sandboxie,bufferzone,GesWall nnT.rar:
运行test.exe，底层磁盘存取，被SSM拦截

显示全部楼层 · 发表于 2007-2-25 14:29:23

windowsservices.rar:
运行cdyduengin.exe，向windows目录写文件services.exe被winpooch拦截，还向其它目录写了很多exe文件，太bt了

显示全部楼层 · 发表于 2007-2-25 14:46:31

不能发现建立的服务system32.rar:
运行remote.exe，向system32目录写文件remote.exe被winpooch拦截，修改注册表建立服务RpcRemote被SSM拦截

显示全部楼层 · 发表于 2007-2-26 00:29:51

病毒名称：                1  downloader1  　 2 gssBypassed    3 killdisk　    4 rem0te          5windowsservices 6 system32　
　
Sandboxie Quick Launch 1下载UIupdater（没事）　2没事　　　3不能运行          4没事　　　　　5没事
6没事
　
　
Altiris Software Virtualization1下载UIupdater（没事）　　2没事3出现警告语言，不敢试下去 4没事    5没测，不过应该没事          6没事

　　　　　　　　　　　　　　　　　　　　　　　　　
ssm(602)                      1 可防    1 生成文件添加服务　3可防　4（生成文件添加服务,删除自身文件)5生成超多病毒文件，自启动　6跟  rem0te  一样

gss                               1没测，不过应该跟ssm一样　    2 跟ssm一样　3不能防　4跟ssm一样　　　　　　5没测，不过应该跟ssm一样　　　　6 跟ssm一样

7俊冷锁(都能防）有些软件也可能是影子的保护才能防，但为了安全，只能这样测

以上有些不太完整，特别是运行后有些东西没写出来，因为没时间了

将就看看吧,而且eubyo 的测试也可以看出我许多没写出的病毒动作的

总结：
Sandboxie Quick Launch ：全部能防，表现很好

Altiris Software Virtualization Admin　：　除了killdisk由于出现警告语言，不敢试下去，直接关掉killdisk进程，没出问题，其它都能防

ssm(602) ：都能防，不过由于没有文件保护，生成许多病毒文件

而且修改注册表建立服务被SSM拦截后，病毒的服务依然生成（这个是不是这样，我不太记得了，可能我多允许了几步

）由于影子或者重启前我都会删掉它，因此不知道重启后能不能防，但相信在选择拦截时建立永久规则，再通过设置下和清理下，一般都会没问题，网上这方面的知识也不少。
但是有个不明

的地方：一开始测俊冷锁，测完后其它程序就不能用了，之后再测过，又没出现这个问题了，应该跟影子系统无关，因为之前测都开着影子测的

gss 　：　除了killdisk，其它应该跟ssm一样，有些没测，也应该与ssm一样，有兴趣的朋友可以自己试试，在测killdisk出现警告语言后，直接关掉警告语言，电脑立刻重启，当时被吓死了

以为自己的硬盘就这样牺牲

不过重启后好在没事，应该是影子的保护，不过我想会不会只是个玩笑，当然，如果要试，还是做好保护措施的好。之后再试，我关掉killdisk进程，就没有重启了

以上测试，killdisk和俊冷锁都是在影子保护下进行，其它的有时是，有时不是，不过在重启前一般都把添加的服务删掉了，文件也基本删掉，所以如果有重启后才能得知能不能防住的病毒，因条件所限，就不得而知了。

[ 本帖最后由 king01 于 2007-2-26 09:22 编辑 ]

显示全部楼层 · 发表于 2007-2-27 16:34:52

在虚拟机上运行killdisk
使用mcafee8.5(本人使用的是自定义规则),为了方便,使用了"通鉴"中的规则,并全部开启,mcafee无法阻挡
关闭对话框后虚拟机自动重启

显示全部楼层 · 发表于 2007-2-27 23:19:59

ssm 跟winpooch 你们自己编规则吗？有没有好的规则？？？

显示全部楼层 · 发表于 2007-3-5 20:31:20

第四个MCAFEE毫无反应

...这要中了救都来不及.

显示全部楼层 · 发表于 2007-3-11 14:51:03

楼上各位的测试精彩无比！学习下

[病毒样本] 测hips行为拦截

本帖子中包含更多资源

本帖子中包含更多资源