瑞星卡卡安全论坛个人产品讨论区瑞星杀毒软件瑞星杀毒软件2011 瑞星主防以下注册表位置未拦截--------危险！！！

1   1  /  1  页   跳转页

[原创] 瑞星主防以下注册表位置未拦截--------危险！！！

收藏
shulun743
头像
特邀体验者
  • 帖子:4192
  • 注册: 2007-11-06
  • 来自:
瑞星金牌用户
发表于： 2009-02-21 15:25 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

瑞星主防以下注册表位置未拦截--------危险！！！

一般的木马运行添加自启动就会被杀毒软件的主动防御拦截,前几天发现了几个注册表自启动的方法,效果还不错,也算是目前主动防御的一大死角了,我测试了--------瑞星一个都未拦截.
1.cmd运行前执行的程序(被动启动)
HKEY_CURRENT_USER\Software\Microsoft\Command Processor
AutoRun            REG_SZ              "xxx.exe"
2.session manager(自启动)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Session Manager
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager
BootExecute        REG_MULIT_SZ          "autocheck autochk *      xxx"
瑞星就来了一个bsmain，用来开机查毒
不过xxx.exe必须用Native API，不能用Win32API
3.屏幕保护程序(被动启动)
HKEY_USERS\.DEFAULT\Control Panel\Desktop
SCRNSAVE.EXE    REG_SZ      "xxx.scr"
其实屏幕保护程序scr文件就是PE文件
4.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Run
"MSCONFIG"="%SystemRoot%\\xxx.exe"
另外,还有一个偷换控制面板文件来被动启动的方式，控制面板文件在C:\windows\system32\下
的.cpl文件,这个文件类似与dll文件.方法给大家了,至于怎么利用,大家就各显神通吧!
以上键值------------经我测试，瑞星一个未拦！！！

建议瑞星能拦截以上位置！！！

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; TheWorld)
分享到：
gototop
 
瑞星工程师19
头像
在线技术支持工程师
  • 帖子:3977
  • 注册: 2008-09-08
  • 来自:
发表于： 2009-02-21 15:25 | 短消息 资料
字号： 小 中 大 2楼

回复：瑞星主防以下注册表位置未拦截--------危险！！！

您提的意见我们已收集，感谢您的支持。
gototop
 
shulun743
头像
特邀体验者
  • 帖子:4192
  • 注册: 2007-11-06
  • 来自:
瑞星金牌用户
发表于： 2009-02-21 15:28 | 只看楼主 短消息 资料
字号： 小 中 大 3楼

回复：瑞星主防以下注册表位置未拦截--------危险！！！

建议用户，修改程序控制，添加规则监控这些键值！！！
gototop
 
傻傻o幸福
头像
初生襁褓狮
  • 帖子:21
  • 注册: 2009-02-21
  • 来自:
发表于： 2009-02-21 17:49 | 短消息 资料
字号： 小 中 大 4楼

回复: 瑞星主防以下注册表位置未拦截--------危险！！！

ddddddddddddddddddddd
gototop
 
昏晓
头像
特邀体验者
  • 帖子:4118
  • 注册: 2008-10-09
  • 来自:山西省大同市
瑞星金牌用户
发表于： 2009-02-21 19:27 | 短消息 资料
字号： 小 中 大 5楼

回复：瑞星主防以下注册表位置未拦截--------危险！！！

支持！
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT