虚拟机实测：瑞星的行为防御引擎无法防御熊猫烧香病毒，以及瑞星行为防御原理的思考

显示全部楼层 · 发表于 2011-3-29 19:01:12

wjzdw 发表于 2011-3-29 18:19
如果楼主知道很久之前瑞星出了个可以自己设置主防规则的东东（09版还是10版忘了），并用过那东东后，就知道 ...

你指的是 “系统内核加固”，那玩意就是个单步HIPS，而我说的是“木马防御”

显示全部楼层 · 发表于 2011-3-29 19:08:28

本帖最后由 newcenturysun 于 2011-3-29 19:08 编辑

这根本不是熊猫烧香病毒而只是使用了熊猫烧香的图标的一个joke病毒只是修改了几个注册表而并非直接感染文件你见过感染文件瞬间就感染完的么
至于加了壳之后就报的问题可能在于那个壳的运行过程中可能触犯了规则建议你去看看壳的知识
目前的木马防御完全跟特征码无关

显示全部楼层 · 发表于 2011-3-29 19:09:31

瑞星的防御还有很多漏洞，覆盖面不足

显示全部楼层 · 发表于 2011-3-29 19:09:47

newcenturysun 发表于 2011-3-29 19:08
这根本不是熊猫烧香病毒而只是使用了熊猫烧香的图标的一个joke病毒只是修改了几个注册表而并非直接感染文 ...

哈哈，ASpack ，一个压缩壳而已，你觉得会有什么规则呢？？我用毛豆疯狂模式分析过，加壳之前和加壳之后没有什么行为区别

显示全部楼层 · 发表于 2011-3-29 19:12:01

回复 24楼 fzq198776 的帖子

我说的是壳的运行流程比如有些壳会启动一个新进程并将代码注入到那个新进程中
因为没看到你说的所谓报未知病毒的真实样本所以无法证实你的实验结果也不知道到底是什么原因报的

显示全部楼层 · 发表于 2011-3-29 19:12:41

回复 13楼 fzq198776 的帖子

瑞星行为防御的报出参考条件很多的.....

也和文件监控有一定关系所以加壳报也是正常的

显示全部楼层 · 发表于 2011-3-29 19:14:07

newcenturysun 发表于 2011-3-29 19:12
回复 24楼 fzq198776 的帖子

我说的是壳的运行流程比如有些壳会启动一个新进程并将代码注入到那个新进程 ...

样本主题帖里已经给出，那我期待你的分析

显示全部楼层 · 发表于 2011-3-29 19:14:48

你的加壳之后报毒的呢

显示全部楼层 · 发表于 2011-3-29 19:18:33

本帖最后由 fzq198776 于 2011-3-29 19:18 编辑

newcenturysun 发表于 2011-3-29 19:14
你的加壳之后报毒的呢

加壳工具已经上传，详见主题贴附件，此为正常的压缩壳，瑞星扫描亦不报毒

显示全部楼层 · 发表于 2011-3-29 19:22:03

没有十全十美，只求在实践中总结经验，在摸索改进中得以完善，相信瑞星会越多越好。

[瑞星] 虚拟机实测：瑞星的行为防御引擎无法防御熊猫烧香病毒，以及瑞星行为防御原理的思考