今天发现一个病卡巴不报

promised

原帖由 tracydk 于 2007-5-25 13:40 发表

cyberhawk不玩了?我在用,不过不敢运行病毒..没影子啊

怕什么，大不了G一次，CYBERHAWK还是值得信赖的

fanrubin

卡巴不报

mofunzone

你们的hips都拦截到了svkp脱壳的时候生成的脱壳sys文件而没有继续运行下去，那个文件即使删除了也没用，因为不是病毒。。

tracydk

原帖由 promised 于 2007-5-25 13:41 发表

怕什么，大不了G一次，CYBERHAWK还是值得信赖的

...........机器里有重要的资料啊,还是小心点的好,呵呵,目前红伞+cyberhawk 启发+主动防御+行为识别 OH,YER
MS无敌了....不过还是小心点的好

solcroft

原帖由 tracydk 于 2007-5-25 15:10 发表
cyberhawk不玩了?我在用,不过不敢运行病毒..没影子啊

用惯了传统式的HIPS，对智能HIPS不太感兴趣了，虽然从Cyberhawk学了好多东西
不会用自定规则的话，还是用微点比较好，只终止不清除是Cyberhawk的致命弱点，要破它的方法还是有的

promised

规则:所有程序规则->*
2007-05-25 13:48:16    修改文件
操作:允许
进程路径:C:\Documents and Settings\Admin\Local Settings\Temp\Rar$EX00.938\setup.exe
文件路径:C:\WINDOWS\system32\SVKP.sys
规则:所有程序规则->vip->C:\WINDOWS\*
2007-05-25 13:48:19    安装服务或者驱动
操作:允许
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\WINDOWS\system32\SVKP.sys
规则:所有程序规则->*
2007-05-25 13:48:21    加载驱动程序
操作:允许
进程路径:C:\WINDOWS\system32\services.exe
驱动名称:SVKP
规则:所有程序规则->*
2007-05-25 13:48:21    创建文件
操作:阻止
进程路径:C:\Documents and Settings\Admin\Local Settings\Temp\Rar$EX00.938\setup.exe
文件路径:C:\WINDOWS\system32\drivers\svchost.exe
规则:所有程序规则->vip->C:\WINDOWS\*
2007-05-25 13:48:21    创建文件
操作:阻止
进程路径:C:\Documents and Settings\Admin\Local Settings\Temp\Rar$EX00.938\setup.exe
文件路径:C:\WINDOWS\system32\drivers\svchost.exe
规则:所有程序规则->vip->C:\WINDOWS\*
2007-05-25 13:48:21    创建文件
操作:阻止
进程路径:C:\Documents and Settings\Admin\Local Settings\Temp\Rar$EX00.938\setup.exe
文件路径:C:\WINDOWS\system32\drivers\svchost.exe
规则:所有程序规则->vip->C:\WINDOWS\*
2007-05-25 13:48:22    创建文件
操作:阻止
进程路径:C:\WINDOWS\System32\svchost.exe
文件路径:C:\WINDOWS\Prefetch\SETUP.EXE-29DF53AD.pf
规则:所有程序规则->vip->C:\WINDOWS\*
加了一个常用的规则，用HIPS都应该设的
即使不用这个规则EQ照样拦
2007-05-25 13:54:41    安装服务或者驱动
操作:允许
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\WINDOWS\system32\SVKP.sys
规则:所有程序规则->*
2007-05-25 13:54:43    加载驱动程序
操作:允许
进程路径:C:\WINDOWS\system32\services.exe
驱动名称:SVKP
规则:所有程序规则->*
2007-05-25 13:54:46    运行应用程序
操作:阻止
进程路径:C:\WINDOWS\system32\services.exe
文件路径:C:\WINDOWS\system32\drivers\svchost.exe
规则:所有程序规则->*
你当HIPS是什么？ 这么好骗？

[ 本帖最后由 promised 于 2007-5-25 14:03 编辑 ]

solcroft

原帖由 mofunzone 于 2007-5-25 15:14 发表
你们的hips都拦截到了svkp脱壳的时候生成的脱壳sys文件而没有继续运行下去，那个文件即使删除了也没用，因为不是病毒。。

你所指的“弱点”，就是setup.exe会写入svchost.exe吧？
不会吧，你以为HIPS有这么好骗？
就算没FD的SSM也会验证MD5的，破HIPS的方法总是有的吧，可是没这么简单

[ 本帖最后由 solcroft 于 2007-5-25 15:23 编辑 ]

tracydk

原帖由 solcroft 于 2007-5-25 13:46 发表

用惯了传统式的HIPS，对智能HIPS不太感兴趣了，虽然从Cyberhawk学了好多东西
不会用自定规则的话，还是用微点比较好，只终止不清除是Cyberhawk的致命弱点，要破它的方法还是有的

所以说cyberhawk只能做做辅助的嘛..谁叫你就装他一个,我是下载文件的时候红伞扫描,要是有病毒过了红伞的话cyberhawk没准能派上用场

promised

原帖由 tracydk 于 2007-5-25 13:54 发表

所以说cyberhawk只能做做辅助的嘛..谁叫你就装他一个,我是下载文件的时候红伞扫描,要是有病毒过了红伞的话cyberhawk没准能派上用场

我觉得你可以试试用CYBERHAWK，而红伞做辅助倒不错
AV和CYBERHAWK没有可比性

solcroft

原帖由 tracydk 于 2007-5-25 15:24 发表
所以说cyberhawk只能做做辅助的嘛..谁叫你就装他一个,我是下载文件的时候红伞扫描,要是有病毒过了红伞的话cyberhawk没准能派上用场

Cyberhawk的理念就是防止零日攻击，不管是不是补助，要是完全被病毒破了也太说不过去
反正我把发现到的弱点都向官方反馈了，就看他们怎么解决
至少官方的态度非常好，对用户反馈都很重视

[ 本帖最后由 solcroft 于 2007-5-25 15:31 编辑 ]