关于NPE，我主要是来发几张图的

byxxdrls

1、



我修改了病毒服务和病毒文件名，病毒文件名的后缀改为“txt”，启动方式是“手动”，用NPE扫描出了威胁。



2、



这个是将病毒的启动方式改为“自动”，病毒服务已启动。NPE扫描出来了。

另外请注意一下，进程中有xuetr.txt，也被NPE认为是不良的。



3、



这是将正常的系统文件替换了病毒文件，并改成和病毒文件名一样的名字。注册表服务项没变。NPE没发现不良。

symantec001

可见NPE不是那么好过的啊

wjcharles

姐夫仅仅是反驳某人把npe当扫描器而衍生出相关问题，把npe当作系统修复工具还是没问题的，因为npe分析不仅仅是文件

另外，这个支付宝钓鱼样本http://bbs.kafan.cn/thread-996090-1-1.html 完美过npe（也过360网购模式http://bbs.kafan.cn/forum.php?mo ... &fromuid=489037），不论文件扫描或者运行样本后的系统扫描

jefffire

对付启动项，服务查杀，加个签名无压力路过。对付文件查杀，改个后缀无压力路过。至于畸形文件夹，无影文件，我都懒得试了。
这里仅仅涉及隐藏文件，尚未进行对抗。最简单的，比如IEFO劫持NPE，更厉害的发现NPE启动就干掉。这点Drweb Cureit同样作为急救箱，就明显更有经验。当然NPE作为小众软件，出现对抗的可能性基本为0.

byxxdrls

wjcharles 发表于 2011-6-1 17:50
姐夫仅仅是反驳某人把npe当扫描器而衍生出相关问题，把npe当作系统修复工具还是没问题的，因为npe分析不仅仅 ...

我啥也不懂，我只是来发图的

我从来没认为NPE是神器

世界上没有神，所谓的“神”终究是要走下神坛的。

jefffire

说实话，如果判定可执行程序是看后缀的话，这种启发实在是神级。好在启动项和服务查杀没用这种“启发技术”。

最后补充一点。NPE如果定位在急救工具上，那么依然是一个不错的选择。但是如果把它当成扫描器来用，就坑爹了。

chen月

神器  呵呵  道高一尺  总有魔高一丈的那一天的啊

qq373163143

jefffire 发表于 2011-6-1 17:54
对付启动项，服务查杀，加个签名无压力路过。对付文件查杀，改个后缀无压力路过。至于畸形文件夹，无影文件 ...

有些遇到直接封各大重量级安软地址的，就不行，比如有些ARP变种，我印象中好像“改变你的一生”这类就会这样，连不到诺顿服务器。

jefffire

qq373163143 发表于 2011-6-1 19:37
有些遇到直接封各大重量级安软地址的，就不行，比如有些ARP变种，我印象中好像“改变你的一生”这类就会这 ...

这个应该是附带损害