12   1  /  2  页   跳转页

RIS2010一直没解决好的一个问题

收藏
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2009-08-05 14:24 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

RIS2010一直没解决好的一个问题

病毒样本：http://bbs.ikaka.com/showtopic-8650526.aspx

电脑：纽曼朗月
系统：XPSP3，全补丁。

RIS2010 版本：22.00.00.58
病毒库版本：22.07.02.02

关闭文件监控，其它监控全部开启。系统加固及木马行为防御均取“最高”设置。

1、由于此毒通过wscipt.exe访问网络搞鬼，所以事先这样设置了RIS2010的网络监控，试图能有机会拦截此毒：


2、运行样本后，RIS2010网络监控自作主张————放行了



3、看看后果吧：







4、看看RIS2010的日志————空空的。



5、看看病毒已经干了些啥：



6、已经中招的用户还沉浸在欣赏美女的陶醉中。汗死！



用户系统信息：Opera/9.64 (Windows NT 5.1; U; Edition IBIS; zh-cn) Presto/2.1.1
最后编辑baohe 最后编辑于 2009-08-05 14:25:08
分享到：
gototop
 
ty88
头像
卡卡反病毒小组
  • 帖子:979
  • 注册: 2007-07-12
  • 来自:
论坛8周年活动礼物论坛9周年纪念瑞星金牌用户
发表于： 2009-08-05 14:31 | 短消息 资料
字号： 小 中 大 2楼

回复：RIS2010一直没解决好的一个问题

原来是那个
瑞星的答复肯定是
你可以关掉智能识别
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2009-08-05 14:39 | 只看楼主 短消息 资料
字号： 小 中 大 3楼

回复: RIS2010一直没解决好的一个问题



引用:
原帖由 ty88 于 2009-8-5 14:31:00 发表
原来是那个
瑞星的答复肯定是
你可以关掉智能识别  


1、没说它不是病毒。所以，运行前关闭了“文件监控”。目的是测试“主动防御”和网络监控。

2、你说的是“取消这项勾选”吧？


这可能是RIS2010今后遭人诟病的一个设置选项。

我有过几次类似的经历了：测甲毒时，建议你勾选此选项；测乙毒时又建议你去掉这个勾选。用户左也不是，右也不是。最后急了，还不骂娘吗？
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2009-08-05 14:50 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

回复：RIS2010一直没解决好的一个问题

建议瑞星参考一下别家的思路。

以TINY的“系统特权”防护为例：
TINY可以实现这种表面看上去自相矛盾的设置：








由于TINY支持程序分组，只要用户做好了恰当的程序分组，上述设置的最终效果是：”除了信任组以外的其它任何程序均不能获得系统特权“。
最后编辑baohe 最后编辑于 2009-08-05 14:51:57
gototop
 
ty88
头像
卡卡反病毒小组
  • 帖子:979
  • 注册: 2007-07-12
  • 来自:
论坛8周年活动礼物论坛9周年纪念瑞星金牌用户
发表于： 2009-08-05 14:52 | 短消息 资料
字号： 小 中 大 5楼

回复: RIS2010一直没解决好的一个问题



引用:
原帖由 baohe 于 2009-8-5 14:39:00 发表


引用:
原帖由 ty88 于 2009-8-5 14:31:00 发表
原来是那个
瑞星的答复肯定是
你可以关掉智能识别 


1、没说它不是病毒。所以，运行前关闭了“文件监控”。目的是测试“主动防御”和网络监控。

2、你说的是“取消这项勾选”吧？
[attach]551809[/attac

是这个
gototop
 
ty88
头像
卡卡反病毒小组
  • 帖子:979
  • 注册: 2007-07-12
  • 来自:
论坛8周年活动礼物论坛9周年纪念瑞星金牌用户
发表于： 2009-08-05 14:55 | 短消息 资料
字号： 小 中 大 6楼

回复：RIS2010一直没解决好的一个问题

这个毒当初我问过阳光
他说为了用户找想不能拦截VBS，
没错的话以前我也发过。他们只是说可以拦截病毒下载以后的所有动作。
恐怕这个只有我们自己定义了
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2009-08-05 14:58 | 只看楼主 短消息 资料
字号： 小 中 大 7楼

回复 5F ty88 的帖子

是这样设置的。
但没用。
gototop
 
ty88
头像
卡卡反病毒小组
  • 帖子:979
  • 注册: 2007-07-12
  • 来自:
论坛8周年活动礼物论坛9周年纪念瑞星金牌用户
发表于： 2009-08-05 15:08 | 短消息 资料
字号： 小 中 大 8楼

回复: RIS2010一直没解决好的一个问题



引用:
原帖由 baohe 于 2009-8-5 14:58:00 发表
是这样设置的。
但没用。

要去掉那个勾
gototop
 
lovexiyangyang
头像
在线工程师
  • 帖子:236
  • 注册: 2009-06-25
  • 来自:
发表于： 2009-08-05 15:13 | 短消息 资料
字号： 小 中 大 9楼

回复：RIS2010一直没解决好的一个问题

已经提交,感谢您反馈的问题
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2009-08-05 15:31 | 只看楼主 短消息 资料
字号： 小 中 大 10楼

回复: RIS2010一直没解决好的一个问题



引用:
原帖由 ty88 于 2009-8-5 15:08:00 发表


引用:
原帖由 baohe 于 2009-8-5 14:58:00 发表
是这样设置的。
但没用。

要去掉那个勾


这种头疼医头脚疼医脚的办法不可取。

我也不跟RIS2010较劲了。

只用TINY的一条“应用程序启动规则”即可搞掂这个问题：




用户只要按下图所示回应TINY的提示，这个病毒就废掉了：




核查防护效果：

最后编辑baohe 最后编辑于 2009-08-05 15:40:43
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT