样本区：假冒数字签名，过掉木马防御和系统加固。

XMonster

样本地址：http://bbs.kafan.cn/thread-997249-2-1.html

借用LZ云沙盘分析

Auto Analysis Verdict
Suspicious+

Suspicious Actions Detected
Creates autorun records
Modifies the windows host file
Registers dynamic link libraries

2011-06-02 06:43:11   C:\Documents and Settings\Roger\桌面\VIRUS\电视棒正版\360Safe.exe   Sandboxed As   Partially Limited   

2011-06-02 06:43:19   C:\Documents and Settings\Roger\桌面\VIRUS\电视棒正版\360Safe.exe   Access COM Interface   C:\WINDOWS\system32\svchost.exe   

2011-06-02 06:43:19   C:\Documents and Settings\Roger\桌面\VIRUS\电视棒正版\360Safe.exe   Modify File   C:\WINDOWS\system32\wbem\Logs\wbemprox.log   

2011-06-02 06:43:19   C:\Documents and Settings\Roger\桌面\VIRUS\电视棒正版\360Safe.exe   Modify Key   HKLM\SOFTWARE\Classes\CLSID\{EF7A2503-2079-B958-C328-4E4C2D96ABE5}   


2011-06-02 06:43:20   C:\Documents and Settings\Roger\桌面\VIRUS\电视棒正版\360Safe.exe  



此样本会修改资源管理器注册表，篡改hosts，指向恶意网站。另外该样本还有底层磁盘写操作。。

ahhh

挽尊

heaven888

此类问题已经反映了，等新版本看看是否解决

baerzake

这个要等新版本了，建议木马防御和内核加固至少有一个取消掉信任数字签名和云

媚_妩

欢迎这样的帖子，很棒，希望数字加急处理

XMonster

baerzake 发表于 2011-6-4 18:37
这个要等新版本了，建议木马防御和内核加固至少有一个取消掉信任数字签名和云

继续被穿：http://bbs.kafan.cn/thread-996169-1-1.html

媚_妩

dm34343667 发表于 2011-6-4 18:40
继续被穿：http://bbs.kafan.cn/thread-996169-1-1.html

这个无效了，被杀了，不知道测试怎么样

baerzake

dm34343667 发表于 2011-6-4 18:40
继续被穿：http://bbs.kafan.cn/thread-996169-1-1.html

这个样本我测试过了，不过内核加固，当然我是取消了信任数字签名和云得，这个样本就是利用系统程序作恶的。

XMonster

baerzake 发表于 2011-6-4 18:44
这个样本我测试过了，不过内核加固，当然我是取消了信任数字签名和云得，这个样本就是利用系统程序作恶的 ...

  不过我的系统加固是初级，为了易用。高级就有点TF 5级的味道了。不过强度比不上TF

baerzake

dm34343667 发表于 2011-6-4 18:47
不过我的系统加固是初级，为了易用。高级就有点TF 5级的味道了。不过强度比不上TF

其实高级也很安静的呵呵，文件保护和高危操作都是针对病毒，很少有程序会触发，只有注册表保护一些项目可能会被触发，不过注册表保护很多都可以直接选择拒绝的呵呵，我就是用高级模板，不测试病毒基本没有触发过，只是玩游戏会有安装钩子的提示