利用IFEO重定向技术判病毒“死缓” - 瑞星卡卡安全论坛bbs.ikaka.com

瑞星卡卡安全论坛技术交流区 反病毒/反流氓软件论坛利用IFEO重定向技术判病毒“死缓”

	瑞星“1+2”全新解决方案巡展在广州画上圆满句号		叶院长揭秘：瑞星如何运用AI技术革新网络安全		俄乌冲突加剧网络攻击风险白俄罗斯政府遭APT攻击		瑞星ESM防病毒系统助力矿业大学筑牢网络安全防线
	实力拉满瑞星第五十次通过VB100测评		携手老友，拥抱新精彩 —— 新论坛新活动，感谢你的陪伴		护航司法，瑞星助力山西省高院构建安全防线		人工智能在网络安全领域的风险和机遇

12 3 4 5 6 7 8 »

1 / 10 页

跳转页

利用IFEO重定向技术判病毒“死缓”

本主题由大版主 networkedition 于 2012-2-24 13:17:54 执行移动主题操作

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2007-01-04 11:24 \| 只看楼主短消息资料字号：小中大 1楼利用IFEO重定向技术判病毒“死缓” 今天拿到了mopery提到的那个“仿威金”样本（http://forum.ikaka.com/topic.asp?board=28&artid=8243649）。。瑞星今天早上的病毒库依然查不出此毒。鉴于此毒主体文件名已知，可以利用WINDOWS本身的‘IFEO重定向’技术判其“死缓”（见下图）。附件: 文件名:155847200714111546.jpg 下载次数:316 文件类型:image/pjpeg 文件大小: 上传时间:2007-1-4 11:24:48 描述: 预览信息:EXIF信息 User Comment : LEAD Technologies Inc. V1.01 2007-01-12 01:33:08
baohe 大版主帖子:72578 注册: 2003-04-10 来自:	分享到：

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2007-01-04 11:26 \| 只看楼主短消息资料字号：小中大 2楼这里之所以说是“死缓”，是指：这样处理后，病毒可以进入系统。然而，一旦它（包括各分区根目录下的go.exe）企图运行，便被定向到RavMon.exe（瑞星监控，见下图），病毒程序本身不会运行。等到瑞星将其加入病毒库后，此毒即可被杀死。当然，用户也可自己动手将病毒文件及其启动项删除。附件: 文件名:155847200714111736.jpg 下载次数:308 文件类型:image/pjpeg 文件大小: 上传时间:2007-1-4 11:26:38 描述: 预览信息:EXIF信息 User Comment : LEAD Technologies Inc. V1.01
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2007-01-04 11:27 \| 只看楼主短消息资料字号：小中大 3楼已经实机测试过熊猫烧香的两个变种以及这个“仿威金”（见下图），预防效果满意。对于其它病毒，只要你知道其主体程序文件名（.exe或.dll类），且病毒主体程序不与系统或应用程序同名，也可仿此处理。附件: 文件名:155847200714111812.jpg 下载次数:294 文件类型:image/pjpeg 文件大小: 上传时间:2007-1-4 11:27:15 描述: 预览信息:EXIF信息 User Comment : LEAD Technologies Inc. V1.01
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2007-01-04 11:27 \| 只看楼主短消息资料字号：小中大 4楼既然我们可以这样利用IFEO，病毒作者自然也会想到相应的反制措施————上来先搜索用户建立的相关键值，找到后删除之。因此，用户要采取适当措施，保护自己的IFEO（见下图）。附件: 文件名:155847200714111855.jpg 下载次数:304 文件类型:image/pjpeg 文件大小: 上传时间:2007-1-4 11:27:57 描述: 预览信息:EXIF信息 User Comment : LEAD Technologies Inc. V1.01
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

拉风的高手快乐黄口狮帖子:229 注册: 2006-10-13 来自:	发表于： 2007-01-04 11:28 \| 短消息资料字号：小中大 5楼学习~
拉风的高手快乐黄口狮帖子:229 注册: 2006-10-13 来自:

鸟儿天上飞叱咤花甲狮帖子:2332 注册: 2006-11-30 来自:	发表于： 2007-01-04 11:31 \| 短消息资料字号：小中大 6楼呵呵大叔又来这招每个病毒知道主体文件名都在注册表那个键值下添加吗? Tiny这个偶有8会用!!! 看不懂文字呀我的SSM还是那样...=.= 过期咯
鸟儿天上飞叱咤花甲狮帖子:2332 注册: 2006-11-30 来自:

大版主

帖子:72578
注册: 2003-04-10
来自:

年度优秀版主奖

端午辟邪香囊

卡卡名人堂

就爱不长大

论坛9周年纪念

09欢乐圣诞

十周年

年度风云人物

2012我眼中的你们

茶馆劳模

瑞星金牌用户

十一周年勋章

发表于： 2007-01-04 11:35 | 只看楼主 短消息资料

字号：小中大 7楼

引用:

【鸟儿天上飞的贴子】呵呵大叔又来这招每个病毒知道主体文件名都在注册表那个键值下添加吗?

………………

是的。定向到哪个程序，也随你便。

gototop

拉风的高手快乐黄口狮帖子:229 注册: 2006-10-13 来自:	发表于： 2007-01-04 12:03 \| 短消息资料字号：小中大 8楼学习了,又对tiny有了新的发现了~
拉风的高手快乐黄口狮帖子:229 注册: 2006-10-13 来自:

klxq 自信弱冠狮帖子:418 注册: 2006-07-25 来自:	发表于： 2007-01-04 12:04 \| 短消息资料字号：小中大 9楼 TINY的下载地址是....
klxq 自信弱冠狮帖子:418 注册: 2006-07-25 来自:

鸟儿天上飞叱咤花甲狮帖子:2332 注册: 2006-11-30 来自:	发表于： 2007-01-04 12:11 \| 短消息资料字号：小中大 10楼你们都用tiny 我的运行程序都不出提示框让我卸了
鸟儿天上飞叱咤花甲狮帖子:2332 注册: 2006-11-30 来自:

<<上一主题|下一主题>>

12 3 4 5 6 7 8 »

1 / 10 页

跳转页

页面顶部

Powered by Discuz!NT