职业小白、为您测试各类病毒，有样本，就跟帖吧！

x-da

如果有未知的程序，就跟帖发来吧。
让我这个小白，帮您测试吧！

如果我机子残了，大家献献爱心就好~

aaaaoooo

我也想帮你啊，可是我的机子没有中毒啊~

594157544

  我这也正常啊！！

dalianjhc1986

回复 1楼 x-da 的帖子

你在这个区发这个帖子没有意义 样本很多 自己下载测试就可以

liulangzhecgr

试一试!这个样本:http://bbs.kafan.cn/thread-909430-1-1.html

zhousulin5

正好，刚刚被这个玩意吓了一大跳，（除了加载动态库允许）什么都阻止的，居然被它关了防火墙。楼主试试看。
其实这个也是在本区下载到的，但我实在想不起是哪个帖子里的了。
密码virus

zhousulin5

再来一张图，像模像样的，真迷惑人呀。

wmcxdb

只是看看规则安全性，不是分析

zhousulin5

回复 8楼 wmcxdb 的帖子

其实，所谓的防火墙被关闭是样本伪造的界面，后面那个安全工具扫描的界面也是伪造的，但伪造得真的很像，因为那里面的目录路径是真实存在的，只是所谓的染毒文件是凭空捏造出来的。
刚开始看到第一张图，把我吓得不轻，第二次仍然没回过味，幸好我没被吓傻，第三次我终于想起去检查真实的防火墙设置了。这个样本对用户的心理掌握得不错。
如果不对它特别写规则，日志如下：

2011-5-5 17:22:44    修改注册表值    阻止
进程: c:\documents and settings\cwb\local settings\temp\rmb.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Common AppData
值: C:\Documents and Settings\All Users\Application Data
规则: [应用程序组]本地磁盘分区 -> [注册表组]系统设置重要

2011-5-5 17:22:44    修改文件    阻止
进程: c:\documents and settings\cwb\local settings\temp\rmb.exe
目标: \Device\NamedPipe\lsarpc
规则: [应用程序]c:\documents and settings\cwb\local settings\temp\* -> [文件]\device\namedpipe\lsarpc

2011-5-5 17:22:45    结束其他进程    阻止
进程: c:\documents and settings\cwb\local settings\temp\rmb.exe
目标: c:\program files\mozilla firefox\firefox.exe
规则: [应用程序]* -> [目标应用程序]*

2011-5-5 17:22:45    修改注册表值    阻止
进程: c:\documents and settings\cwb\local settings\temp\rmb.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\ctfmon.exe
值: C:\WINDOWS\system32\ctfmon.exe
规则: [应用程序组]本地磁盘分区 -> [注册表组]自动运行程序所在位置

2011-5-5 17:22:45    修改注册表值    阻止并结束进程
进程: c:\documents and settings\cwb\local settings\temp\rmb.exe
目标: HKEY_CURRENT_USER\Software\Classes\.exe\shell\open\command
值: "C:\Documents and Settings\cwb\Local Settings\Temp\rmb.exe" -a "%1" %*
规则: [应用程序组]本地磁盘分区 -> [注册表组]高风险项

wmcxdb

zhousulin5 发表于 2011-5-5 17:22
回复 8楼 wmcxdb 的帖子

其实，所谓的防火墙被关闭是样本伪造的界面，后面那个安全工具扫描的界面也是伪 ...

是样本伪造的，是的