瑞星卡卡安全论坛个人产品讨论区瑞星杀毒软件瑞星杀毒软件2011 瑞星木马行为防御模块式自定义规则(7.18更新)

1234567   3  /  7  页   跳转页

[原创] 瑞星木马行为防御模块式自定义规则(7.18更新)

收藏
SpeW
头像
锋芒艾服狮
  • 帖子:1321
  • 注册: 2008-07-11
  • 来自:
发表于： 2009-01-27 15:45 | 只看楼主 短消息 资料
字号： 小 中 大 21楼

回复: 大家一起防木马----我们需要模块式规则(1.27更新)



引用:
原帖由 newcenturymoon 于 2009-1-27 13:56:00 发表
从你的规则来看 很乱
不妨我们这样讨论下
盗号木马的规则
盗号木马 可能有如下行为（指我们规则编辑器能监控到的）
1.创建Shellexehooks ,Appint Dlls 等的关键启动项
2.释放Win32_dll
3.注入Explorer.exe等进......


瑞星系统加固难道对 创建Shellexehooks ,Appint Dlls 等的关键启动项 都不能监控?(那不太雷人了?)
还有利用那个函数挂钩子 瑞星监控全局挂钩子会无视这个动作吗?
如果瑞星内置的主防监控不到的话,我会把这些加上去的
gototop
 
SpeW
头像
锋芒艾服狮
  • 帖子:1321
  • 注册: 2008-07-11
  • 来自:
发表于： 2009-01-27 16:06 | 只看楼主 短消息 资料
字号： 小 中 大 22楼

回复: 大家一起防木马----我们需要模块式规则(1.27更新)

仔细查了一下就Appint Dlls这个瑞星没监控 但是卡卡好像设置了免疫 RIS到底对它起不起监控作用?
gototop
 
1輩吇筷楽
头像
卡卡巡查
  • 帖子:22087
  • 注册: 2008-09-21
  • 来自:
年度优秀版主奖幸运草端午辟邪香囊冰激凌10温馨圣诞十周年国庆61周年2010国庆勋章幸运袜子巫师帽啤酒苹果2011NBA至尊十一周年勋章六一欢乐天使
发表于： 2009-01-27 16:38 | 短消息 资料
字号： 小 中 大 23楼

回复：大家一起防木马----我们需要模块式规则(1.27更新)

感谢分享
gototop
 
newcenturymoon
头像
社区嘉宾
  • 帖子:15158
  • 注册: 2005-08-03
  • 来自:
论坛8周年活动礼物幸运草
发表于： 2009-01-27 17:00 | 短消息 资料
字号： 小 中 大 24楼

回复: 大家一起防木马----我们需要模块式规则(1.27更新)



引用:
原帖由 SpeW 于 2009-1-27 15:45:00 发表
[quote] 原帖由 newcenturymoon 于 2009-1-27 13:56:00 发表
从你的规则来看 很乱
不妨我们这样讨论下
盗号木马的规则
盗号木马 可能有如下行为（指我们规则编辑器能监控到的）
1.创建Shellexehooks ,Ap......

系统加固中有这些敏感键值的 但系统加固是针对单个行为的 木马行为防御是可以针对一连串行为的规则
和系统加固的规则不冲突的 你可以放心的去编写
而且木马行为防御内置规则和 自定义规则有重复也没关系 不会冲突
系统加固中 有Appint Dlls 的规则
gototop
 
有问题找我
头像
特邀体验者
  • 帖子:2495
  • 注册: 2004-08-29
  • 来自:
发表于： 2009-01-28 00:07 | 短消息 资料
字号： 小 中 大 25楼

回复：大家一起防木马----我们需要模块式规则(1.27更新)

规则太粗了吧。
如果楼主害怕重复，可以试下瑞星的内置规则呗，拿不报的样本来分析。。。
gototop
 
SpeW
头像
锋芒艾服狮
  • 帖子:1321
  • 注册: 2008-07-11
  • 来自:
发表于： 2009-01-28 11:20 | 只看楼主 短消息 资料
字号： 小 中 大 26楼

回复: 大家一起防木马----我们需要模块式规则(1.27更新)



引用:
原帖由 有问题找我 于 2009-1-28 0:07:00 发表
规则太粗了吧。
如果楼主害怕重复，可以试下瑞星的内置规则呗，拿不报的样本来分析。。。


规则虽粗,但误报很少
里面很多的规则就是针对绕过主防的病毒编的,例如防篡改显示隐藏文件,替换系统文件
最后编辑SpeW 最后编辑于 2009-01-28 11:29:24
gototop
 
newcenturymoon
头像
社区嘉宾
  • 帖子:15158
  • 注册: 2005-08-03
  • 来自:
论坛8周年活动礼物幸运草
发表于： 2009-01-28 11:26 | 短消息 资料
字号： 小 中 大 27楼

回复: 大家一起防木马----我们需要模块式规则(1.27更新)



引用:
原帖由 SpeW 于 2009-1-28 11:20:00 发表


引用:
原帖由 有问题找我 于 2009-1-28 0:07:00 发表
规则太粗了吧。
如果楼主害怕重复，可以试下瑞星的内置规则呗，拿不报的样本来分析。。。


规则虽粗,但误报很少

你装软件试试～～
gototop
 
pigboy
头像
卡卡反病毒小组
  • 帖子:3784
  • 注册: 2007-02-22
  • 来自:
论坛8周年活动礼物十周年
发表于： 2009-01-28 11:29 | 短消息 资料
字号： 小 中 大 28楼

回复：大家一起防木马----我们需要模块式规则(1.27更新)

制作规则包需要很多的样本实验、很多的实践  不是这样找一些代表性文件就可以代表全部的吖  需要不断的去实践  最后才能拿出来给大众使用吖  建议楼主把不完善的规则包先删除掉  搞出相对完善的测试规则在发上来的好
gototop
 
SpeW
头像
锋芒艾服狮
  • 帖子:1321
  • 注册: 2008-07-11
  • 来自:
发表于： 2009-01-28 11:32 | 只看楼主 短消息 资料
字号： 小 中 大 29楼

回复: 大家一起防木马----我们需要模块式规则(1.27更新)



引用:
原帖由 pigboy 于 2009-1-28 11:29:00 发表
制作规则包需要很多的样本实验、很多的实践  不是这样找一些代表性文件就可以代表全部的吖  需要不断的去实践  最后才能拿出来给大众使用吖  建议楼主把不完善的规则包先删除掉  搞出相对完善的测试规则在发上来的好

我发之前自己是测过的 但是不具有普遍性 所以才发过来给你门用 有问题跟帖 我再改
gototop
 
pigboy
头像
卡卡反病毒小组
  • 帖子:3784
  • 注册: 2007-02-22
  • 来自:
论坛8周年活动礼物十周年
发表于： 2009-01-28 11:35 | 短消息 资料
字号： 小 中 大 30楼

回复: 大家一起防木马----我们需要模块式规则(1.27更新)



引用:
原帖由 SpeW 于 2009-1-28 11:32:00 发表


引用:
原帖由 pigboy 于 2009-1-28 11:29:00 发表
制作规则包需要很多的样本实验、很多的实践  不是这样找一些代表性文件就可以代表全部的吖  需要不断的去实践  最后才能拿出来给大众使用吖  建议楼主把不完善的规则包先删除掉  搞出相对完善的测试规则在发上来的好

我发之前自己是测过的 但是不具有普遍性 所以才

我晕  感情拿来论坛测试...  会害死人的
gototop
 
<<上一主题|下一主题>>
1234567   3  /  7  页   跳转页
页面顶部
Powered by Discuz!NT