瑞星卡卡安全论坛

系统背景：
1、Tiny文件防护中建立system_dlls组和My_Apps组，录入system32和dllcache目录下的所有dll和.exe。目的：监控这些系统dll、.exe的MD5。有此设置，系统DLL、.exe一旦被篡改，Tiny将显示。
2、用Tiny禁止注册表AppInit_DLLs项的写入。
3、放开Tiny有关文件防护、注册表防护的其它设置。



运行病毒样本Gameeeeeee.exe。

用Tiny查system32目录下的taskmger.exe、debug.exe和comctl32.dll3个文件的MD5，并与原先录入的相应文件的MD5比较，结果：均发生变化。说明病毒已经得逞。

查看Tiny的activity monitor日志（图1），病毒正在傻傻的写AppInit_DLLs，但总写不成。

乘机用IceSword将I386目录下的taskmger.exe、debug.exe和comctl32.dll分别拷贝到dllcache和system32目录下（图2、图3）。






再检查、对比这3个文件的MD5值。结果：与运行病毒前录入的相同。

结束病毒进程。删除windows目录下的四位随机字母.exe以及病毒从网络下载到system32目录的那堆病毒文件及相应的注册表项。完事。

用户系统信息：Opera/9.51 (Windows NT 5.1; U; zh-cn)

猫叔新作
偶像呀
猫叔
整几个防AV终结者的瑞星杀毒软件的规则包吧
发到反病毒区顶置吧:default5:
tiny还是难了点

等啥时候瑞星的主动防御设置有了“程序分组”以及“文件MD5录入、监控”等等设置，我再玩儿瑞星主防吧。现在，玩儿瑞星主防－－－－费劲！

怕是主动防御的项目再多了
瑞星用户更晕
看到多如牛毛的提示，就吐血了
主动防御，是要用户参与的
但参与需要对系统及病毒了解
不了解，主动防御的后果很惨很严重
不是系统正常动作被拦截，就是对病毒一路绿灯:default10:

用户设置问题。
若设置恰当，主防不会那麽BT。

用eq找个别人做好的文件学习一下再改改也不错

该用户帖子内容已被屏蔽

猫叔总能给出一点好玩的东西来，学习ing

该用户帖子内容已被屏蔽

学习了

猫叔又拍了一个黄瓜。

:default3: 猫叔机子上还有I386 备用。感觉有些病毒很奇怪，system32下的能替换掉，为什么不顺带把dllcache下也一同替换掉，还是因为这么做比较麻烦。

先替换的是dllcache下的，删除system32下的文件，系统文件保护生效将已替换的程序直接拷贝到system32下。

正在查找ca的新版

如果system32被替换了，dllcache下也必然被替换了，想要还原该系统文件去dllcache下也没有效果了是么，只有从其他地方获取原版系统文件是么？

猫大，，如果这个病毒运行了是什么样的后果呀，，症状是什么样呢？是不是就是开机黑屏只有鼠标能动？

CA 新的那个是智能的，智能的问题多多
还是经典好啊啊

如果对系统不了解，最好是用推荐的中等防御好些，这样出错少。

ffffffffffffffffffffffffffffffffffffffffffffffffff:default15:

猫叔的帖子都好看！