回复: 想练习手工杀毒的实习生请进
原帖由 vistalong 于 2008-7-9 23:07:00 发表
简单运行了一下 确实是下载器 由于沙盘的防护能力相对比较的弱 截了图 也可以通过查看注册表的变化
由于调用rpc功能 sreng自动修复 失去了分析的目的 有一部分 截图 对大家有帮助。没有进行静态扫描 谁在虚拟机下有日志可以发上来 可以帮助分析
沙盘下运行是体现不到木马群的真正实力的：
1. 沙盘下不能安装服务和驱动
2. 沙盘下的进程难以对沙盘外的其他进程进行操作，因此插入进程行为会被阻止，违背了考验前提。
3. 沙盘关闭后，病毒不再运行，体现不出病毒常驻内存对杀毒造成的困难。
沙盘下大量的API和SSDT被HOOK，相当于屏蔽掉了病毒的很多动作。
因此，沙盘一般只用于捕捉病毒创建的文件及访问的注册表，而不适宜作为手工杀毒的演练环境。
如果只在沙盘中运行，这个考验将失去意义。
