修改rundll32.exe和ctfmon.exe的?!

hddu

liulangzhecgr 发表于 2010-12-11 11:08
回复 45楼 hddu 的帖子

样本自身的运行都阻止？！

第一次允许了呀，只是再次运行自身阻止了。

liulangzhecgr

回复 49楼 hddu 的帖子

我现在一步一步关闭防御系统测试。。。

hddu

回复 52楼 liulangzhecgr 的帖子

等待好消息，祝成功。

liulangzhecgr

hddu 发表于 2010-12-11 13:43
正常重启，中招，可能EQ退出早。强行重起，系统没有问题。

我很赞成你这个结论！总觉得注销或关闭时样本起作用！

用eq进程管理器杀不完病毒进程！杀了又重生...!若正常关闭。。。eq比他早点关闭了呢？！



极限安防规则：（普通用户权限运行样本---注册表记录没有？！）

2010-12-11 14:34:34    创建文件      操作:阻止
进程路径:F:\Downloads\融合.exe
文件路径:C:\windows\rundll.zeif
触发规则:所有程序规则->A02…有关文件创建修改组（含黑名单）->%windir%\*

(重复几次)

2010-12-11 14:35:06    修改文件      操作:阻止并结束进程
进程路径:F:\Downloads\融合.exe
文件路径:C:\windows\system32\dllcache\rundll32.exe
触发规则:所有程序规则->A01…系统文件组->%SystemDrive%\*.exe

(重复几次)



无穷的循环，而不是重复几次！ 等待注销或正常重启。。。？！

用ark工具杀完进程后。。。检查系统！一切正常！

liulangzhecgr

hddu 发表于 2010-12-11 13:48
第一次允许了呀，只是再次运行自身阻止了。

极限安防规则允许自身的行为（我的理解）！
运行病毒后，不要注销或重启！杀尽病毒进程后。。。干什么操作都无所谓啊！

tawny2008

回复 55楼 liulangzhecgr 的帖子

规则确实允许自己目录下的所有程序，所以我在此帖31楼说极限规则运行此病毒很有压力。如果有需要的话，我可以把禁止运行病毒自身的部分规则给你，以前编写弹窗规则时候的产物（规则已经夭折，EQ不更新让人很失望），可以另类实现禁止运行病毒自身。

liulangzhecgr

回复 56楼 tawny2008 的帖子

那样的话我是很高兴！
我不会编写规则，但会改写规则。。。谢谢！

hddu

回复 54楼 liulangzhecgr 的帖子

也可能EQ驱动问题。

xcffl

金山云拦截，金山沙箱无法分析，一分析就自动结束了。。好吧原来是穿透了？桌面上多了几个FF的图标。。

tingyue-wu

回复 56楼 tawny2008 的帖子

另类实现禁止运行病毒自身?
难道是$parent$\*（不包括所有文件）  ad询问
           $parent$\*（包括所有文件）    ad允许

不过遇到一些游戏还是弹窗比较多的。