最近流行假数字签名的样本，行为都一样，还有智能HIPS被穿破

显示全部楼层 · 发表于 2011-6-2 06:50:33

本帖最后由 a256886572008 于 2011-6-2 06:51 编辑

http://camas.comodo.com/cgi-bin/submit?file=d3d29016dda7f8ba6015cd9b0e82c60132cba069db9cec7cd9fb43767d2dadfb

Auto Analysis Verdict
Suspicious+

Suspicious Actions Detected
Creates autorun records
Modifies the windows host file
Registers dynamic link libraries

2011-06-02 06:43:11 C:\Documents and Settings\Roger\桌面\VIRUS\电视棒正版\360Safe.exe Sandboxed As Partially Limited

2011-06-02 06:43:19 C:\Documents and Settings\Roger\桌面\VIRUS\电视棒正版\360Safe.exe Access COM Interface C:\WINDOWS\system32\svchost.exe

2011-06-02 06:43:19 C:\Documents and Settings\Roger\桌面\VIRUS\电视棒正版\360Safe.exe Modify File C:\WINDOWS\system32\wbem\Logs\wbemprox.log

2011-06-02 06:43:19 C:\Documents and Settings\Roger\桌面\VIRUS\电视棒正版\360Safe.exe Modify Key HKLM\SOFTWARE\Classes\CLSID\{EF7A2503-2079-B958-C328-4E4C2D96ABE5}

2011-06-02 06:43:20 C:\Documents and Settings\Roger\桌面\VIRUS\电视棒正版\360Safe.exe Scanned Online and Found Malicious

comodo 云查杀

2011-06-02 06:43:19 C:\Documents and Settings\Roger\桌面\VIRUS\电视棒正版\360Safe.exe .Heur.Suspicious@1

显示全部楼层 · 发表于 2011-6-2 06:54:06

本帖最后由 a256886572008 于 2011-6-2 06:55 编辑

智能 HIPS 被穿破的原因

(1) 行为库不够 TF

(2)验证数字签名的方式有 bug GDATA 的 BB

GDATA 有人回报了，TF 是要自己另外加规则。

--------------------------------------------------------------------------
360卫士的HIPS，我就不知道原因了，有人在入库前测试，被穿破。

显示全部楼层 · 发表于 2011-6-2 07:08:19

扫描报告

2011年6月2日星期四 7:05:26 - 7:05:34

计算机名称: REPDHL9WEU1CSLT
扫描类型: 扫描目标
目标: D:\My Documents\Downloads\360Safe.rar

结果: 找到 1 恶意软件

Trojan.Redirect.M (病毒)
D:\My Documents\Downloads\360Safe.rar\360Safe.exe
统计信息

已扫描:
文件: 2
未扫描: 0
结果:
病毒: 1
间谍软件: 0
可疑项目: 0
危险软件: 0
操作:
已杀毒: 0
已重命名: 0
删除: 0
已隔离: 0
失败: 0
启动扇区:
已扫描: 0
受感染: 0
可疑项目: 0
已杀毒: 0

显示全部楼层 · 发表于 2011-6-2 07:33:04

已经被人上报

http://samples.nod32.com.hk/inde ... d7e7bacbddb46a2351a

显示全部楼层 · 发表于 2011-6-2 07:35:36

a256886572008 发表于 2011-6-2 06:54
智能 HIPS 被穿破的原因

(1) 行为库不够 TF

TF。。。没有破。。。

显示全部楼层 · 发表于 2011-6-2 07:36:59

本帖最后由 a256886572008 于 2011-6-2 07:38 编辑

电影结束了发表于 2011-6-2 07:35
TF。。。没有破。。。

那个黄色的询问框写什麽？

那个 dao360.dll，有正的 MS 数字签名

显示全部楼层 · 发表于 2011-6-2 07:41:55

360树大招风，被重点突破很正常。

比较关心的是G-DATA（如果确实是有这个问题的话）跟瑞星这两家在数字签名验证上的漏洞什么时候能修正

显示全部楼层 · 发表于 2011-6-2 07:43:33

本帖最后由电影结束了于 2011-6-2 07:48 编辑

a256886572008 发表于 2011-6-2 07:36
那个黄色的询问框写什麽？

那个 dao360.dll，有正的 MS 数字签名

3级别
、
4级别

5级别

应该都隔离了吧
文件夹内没有360那个文件

显示全部楼层 · 发表于 2011-6-2 07:43:46

jinshan kill

显示全部楼层 · 发表于 2011-6-2 09:16:46

MSE拦截并修复HOSTS，无其他生成物，程序退出

[病毒样本] 最近流行假数字签名的样本，行为都一样，还有智能HIPS被穿破

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

[病毒样本] 最近流行 假数字签名 的样本，行为都一样，还有智能HIPS被穿破

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

[病毒样本] 最近流行假数字签名的样本，行为都一样，还有智能HIPS被穿破