最近流行 假数字签名 的样本，行为都一样，还有智能HIPS被穿破

jefffire

armchan 发表于 2011-6-2 17:40
看来数字的宇宙第一泡汤了

QVM第一时间查出。

z2009

Start of the scan: 2011年6月2日  22:17

Starting the file scan:

Begin scan in 'C:\Users\\Desktop\360Safe.rar'
C:\Users\\Desktop\360Safe.rar
[0] Archive type: RAR
[DETECTION] Is the TR/Sasfis.bjsz Trojan
  --> 360Safe.exe
[DETECTION] Is the TR/Sasfis.bjsz Trojan

Beginning disinfection:
C:\Users\juhone\Desktop\360Safe.rar
  [DETECTION] Is the TR/Sasfis.bjsz Trojan
  [NOTE]      The file was deleted!


End of the scan: 2011年6月2日  22:17
Used time: 00:00 Minute(s)

The scan has been done completely.

JusT.Like

a256886572008 发表于 2011-6-2 06:54
智能 HIPS 被穿破的原因

(1) 行为库不够              TF

我在AVPCLUB就澄清过，PASS掉BB，不一定就是验证数字签名有问题

我测试过不少带假冒数字签名的样本

GD仍旧是旧版：22.0.4.2  看看日志：

*** Process ***

Process: 4516
File name: 360safe.exe
Path: c:\users\vinsk_lee\desktop\360safe.exe
Publisher: Unknown publisher
Creation date: 06/02/11 14:26:40
Modification date: 06/01/11 22:15:10
Started by: 360safe.exe
Publisher: Unknown publisher

*** Actions ***

The virus scanner has detected that the file is malicious.
The program is trying to create a startup item to launch a program automatically at system startup.


*** Quarantine ***

The following files were moved into quarantine:
C:\Users\Vinsk_Lee\Desktop\360Safe.exe
D:\Applic\Sandbox\Vinsk_Lee\TEST\user\all\TEMP\DD8934B4.TMP

The following registry entries were deleted:

网名丢失

红伞也给力

小飞侠.net

可疑文件扫描报告┊2011-4-24 8:00┊

┊360杀毒 2.0.0.2033 ┊
扫描选项--指定目录扫描
----------------------
使用QVM启发式引擎（v2.2011.5.4）：是
升级设置：定时升级，每天--16：24 升级本地BitDefender病毒库
多引擎设置：禁用360云查杀引擎
=======================
Avira AntiVir┊Ikarus 网页版

       Windows XP SP3┊Google Chrome 11┊7-Zip┊7z
----------------------
文件名: D:\mp4\NewDoc3\002\360Safe.rar
文件大小: 877932 字节 (857.36 KB)
修改日期: 2011-06-03 06:31
MD5: 42c8c15d0dfd6b91f6e143f032a8e5dc
SHA1: c2af0d5c1e5bf3847ebee9486fa3c432039a1b2c
SHA256: ed8552f863e2ed47d4a395ee4ac1ad922ab1f462dfff9d55fe36c536f77816a1
CRC32: 64e4af86
----------------------
360杀毒2：
病毒扫描结果
----------------------
D:\mp4\NewDoc3\002\360Safe.rar=>360Safe.exe        木马程序(Trojan.Redirect.M)        未处理
=======================

Avira AntiVir：TR/Sasfis.bjsz
----------------------

Ikarus---Trojan.Win32.Sasfis
=======================
本地病毒库最后更新时间：2011-6-3 6:35

在线多引擎扫描：
Status:  Scan finished.11 out of 20 scanners reported malware.
ht~tp://virusscan.jotti.org/en/scanresult/585d9576b896ef86a912286add1db674a3ff5d39


ht~tp://www.threatexpert.com/report.aspx?md5=ebb0e69443cf4d7e7bacbddb46a2351a
详情看在线沙箱：

xiaoyaosanren

荷韵诗 发表于 2011-6-2 21:42

已经入库了是个杀毒就能报！

荷韵诗

xiaoyaosanren 发表于 2011-6-3 08:53
已经入库了是个杀毒就能报！

你自己用2.0上个月的版本测试下就知道了！

xiaoyaosanren

荷韵诗 发表于 2011-6-3 08:56
你自己用2.0上个月的版本测试下就知道了！

镜湖

xiaoyaosanren 发表于 2011-6-3 12:43

你要多等一会儿，还要看看进程网络信息里，这个进程有没有联网？如果联网成功了，那就确实是过了微点（防火墙打开）。

能被微点监控到就很难过微点，一般情况是这样。

荷韵诗

xiaoyaosanren 发表于 2011-6-3 12:43

windows XP  SP3  

微点主防是5月25日的，直接从官网下载，取消升级。


你还想说什么？