过360主防样本一枚，不过网购保镖

显示全部楼层 · 发表于 2011-5-24 13:38:31

jefffire 发表于 2011-5-24 13:36
对。

这也是规则类防查监控的通病，规则不更新过一个就相当于过一族。谢谢解惑

显示全部楼层 · 发表于 2011-5-24 13:40:10

悟心之道发表于 2011-5-24 13:38
这也是规则类防查监控的通病，规则不更新过一个就相当于过一族。谢谢解惑

这也没办法吧，总不可能真做成HIPS吧。而且这个样本，某人说Malware Defender也没有监控到所有动作。

显示全部楼层 · 发表于 2011-5-24 13:41:40

本帖最后由悟心之道于 2011-5-24 13:48 编辑

jefffire 发表于 2011-5-24 13:40
这也没办法吧，总不可能真做成HIPS吧。而且这个样本，某人说Malware Defender也没有监控到所有动作。

Comodo firewall 就不知道能会如何了

显示全部楼层 · 发表于 2011-5-24 13:53:01

jefffire 发表于 2011-5-24 13:40
这也没办法吧，总不可能真做成HIPS吧。而且这个样本，某人说Malware Defender也没有监控到所有动作。

这是个残缺样本，本身无行为。不是过主防

这个样本应该是由一个来源样本生成（自己观察样本尾部可知）。

显示全部楼层 · 发表于 2011-5-24 13:55:36

我也觉得疑惑，除了残留的进程，还有别的动作吗？没有什么特别的动作可导致反复杀不掉。这个根本不用杀重启下自己就成垃圾了吧。
样本区提取到的可能只是衍生物

显示全部楼层 · 发表于 2011-5-24 13:56:35

Tron 发表于 2011-5-24 13:53
这是个残缺样本，本身无行为。不是过主防

这个样本应该是由一个来源样本生成（自己观察样本尾部可知） ...

这个样本还是有动作的吧

释放C:\Windows\system32\yysoft.ini
同时调用任务管理器杀金山卫士进程

显示全部楼层 · 发表于 2011-5-24 13:57:53

jefffire 发表于 2011-5-24 13:56
这个样本还是有动作的吧

释放C:\Windows\system32\yysoft.ini

这两个不算动作。

显示全部楼层 · 发表于 2011-5-24 13:58:13

leisong 发表于 2011-5-24 13:55
我也觉得疑惑，除了残留的进程，还有别的动作吗？没有什么特别的动作可导致反复杀不掉。这个根本不用杀重启 ...

就是衍生物

显示全部楼层 · 发表于 2011-5-24 14:00:59

回复 16楼 jefffire 的帖子

解惑下释放了这个INI文件可能导致的后果吧，瑞星拦截的不过是释放这个文件的动作而已。

显示全部楼层 · 发表于 2011-5-24 14:04:34

leisong 发表于 2011-5-24 14:00
回复 16楼 jefffire 的帖子

解惑下释放了这个INI文件可能导致的后果吧，瑞星拦截的不过是释放这个文件的动 ...

这个就是样本本身。

[砖头] 过360主防样本一枚，不过网购保镖