360 7.5 9月平均检测率（响应后）91.02% ，+主防99.47%，修复后+主防100%

显示全部楼层 · 发表于 2010-9-18 20:50:09

还是在特殊目录有VBE生成

显示全部楼层 · 发表于 2010-9-18 20:57:46

回复

楼上有一个断网的样本，360 7.5.0.1001R最新版，麻烦看一下
leisong 发表于 2010.9.18 18:27

已看了，使用特殊方式破坏系统网络，下周会发布对抗版本，请删除样本修改标题吧。

显示全部楼层 · 发表于 2010-9-18 21:32:37

2-4麻烦再看下拦截有没有问题

那个特殊目录是不是禁止写入可执行程序？

显示全部楼层 · 发表于 2010-9-18 22:00:31

2-4麻烦再看下拦截有没有问题

那个特殊目录是不是禁止写入可执行程序？
leisong 发表于 2010.9.18 21:32

2-4这个就是上周那个修改启动文件夹指向的，新版已可拦截。

显示全部楼层 · 发表于 2010-9-18 23:18:20

回到家，AMD 3800+ 768内存 ....这几天我表示路过

显示全部楼层 · 发表于 2010-9-19 00:29:19

回复

不改MD5怎么看主防，报毒不算。
这个样本来问题了，衍生物会断网。
你在虚拟机测试一下
leisong 发表于 2010.9.18 18:23

这个样本好像是个外挂吧？用户手动点“开“才会断网，也没有什么恶意行为。。。

显示全部楼层 · 发表于 2010-9-19 00:58:59

回复 376楼 360sandbox 的帖子

CF外挂.没搞懂断网了也不作恶的...

PS:360SetUpScan.exe这玩意依旧开机出来的嘛- -

显示全部楼层 · 发表于 2010-9-19 09:21:21

回复 376楼 360sandbox 的帖子

都断网了还不叫恶意行为？但我也搞不懂全面断网了外挂怎么工作？即便它是个木马，它自己怎么联网发送信息？
想来就是做一次性破坏的假外挂。

显示全部楼层 · 发表于 2010-9-19 12:25:24

2-4这个就是上周那个修改启动文件夹指向的，新版已可拦截。
360sandbox 发表于 2010.9.18 22:00

实机再测了一下，这个玩意居然在关机时写启动项的，难怪上次jinzijie测的时候重启前看不到启动项，重启后才看到启动项。
拦截是能拦截了，重启病毒没启动，但垃圾我要手动去删除。这种不应该存在可行性文件的特殊目录可否像系统敏感目录一样拦截写入可执行文件呢？这样不是拦得更彻底一些吗

那个断网的外挂就是拦截写入敏感目录的，本来360已经拦截了，我特地提取出来单独运行才发现能断网。

显示全部楼层 · 发表于 2010-9-19 13:08:33

实机再测了一下，这个玩意居然在关机时写启动项的，难怪上次jinzijie测的时候重启前看不到启动项，重启后 ...
leisong 发表于 2010.9.19 12:25

感谢建议，会加强这个目录的规则

[讨论] 360 7.5 9月平均检测率（响应后）91.02% ，+主防99.47%，修复后+主防100%