1   1  /  1  页   跳转页

瑞星行为防御模块专项评测之五

收藏
Palkia
头像
强壮不惑狮
  • 帖子:1079
  • 注册: 2009-01-20
  • 来自:Subspace
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-08-28 08:28 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

瑞星行为防御模块专项评测之五

历史测试帖
http://bbs.ikaka.com/showtopic-8657865.aspx  0824
http://bbs.ikaka.com/showtopic-8658611.aspx  0825
http://bbs.ikaka.com/showtopic-8659048.aspx  0826
http://bbs.ikaka.com/showtopic-8659258.aspx  0827

测试宗旨
由于瑞星的此模块在之前的年版本中都显得十分“含蓄”，做此测试是为了让大家对2010版的新木马行为防御模块有个新认识，要让大家刮目相看， 而不是为了找出它有多少能拦截或多少不拦截.

测试说明
1.使用目前还是绝对主流的xp3系统，测试系统默认进程数为21个；
2.不安装所有非智能主防模块并关闭系统加固；
3.行为防御设定为最高级并使用提示处理；
4.遇到相关问题诸如bug或改进建议等会在测试中说明；
5.遇到不报样本将使用eq监控详细行为并附上日志；
6.每次测试将附上当次测试使用的样本并根据测试情况设置较为合理的下载权限，有需要请下载；
7.保证每测试一个样本前将系统还原到干净状态.

0828 今日待测样本数：3个

MD5
7A848B9B5179C636209DC018ED09DBE6
CAD6E4B2953B044DC53AABCA17C5EAB6
ED05AC2F7E39ED54717C9E4A8962CCF7 - virus-3-1
CB80FC9202BA46B0549AB351B0F4741D  - virus-3-2
 
今日说明
云安全系统对于virus-3-1的分析结果居然是安全！？

运行viurs-1,
没有任何拦截，相继出现了数个样本本体外的陌生进程
运行5分钟后的进程列表。tmp文件应该是随机字符的。


运行virus-2
出现cmd窗口，接着是瑞星自保提示

接着是

看看此时任务管理器进程

等待。。。出现

再看

等待。。。


拦截后进程

等待。。。继续拦截


进程

然后又等了3分钟左右，居然又出现

看进程

至此，样本本体还在，进程里还是有残余，后台ie可能会访问恶意网页或下载威胁。
测试中木马行为防御弹窗全部点隔离删除选项处理。

运行virus-3-1，出现


出现这么多动作的文件也是安全文件！？
查询编号RS20090827084601375477 中的aaa.exe就是virus-3-1样本。md5为ED05AC2F7E39ED54717C9E4A8962CCF7
用瑞星扫描virus-3-2，会发现嵌入删除很多带毒文件，但扫描删除过后运行还是会攻击瑞星,最后还是被瑞星防御删除(即测试使用的virus-3-1)

总结
虽然今日总体表现不太理想，但测试中系统未发现具体破坏表现。光是virus-2的测试就耗时至少15分钟了，貌似现在的病毒      发作也开始不急着发作了。另外请注意下云安全系统把virus-3分析成安全文件的问题。
附上virus-1的eq日志及3个样本，virus-3-2样本是扫描删除前，virus-3-1样本是使用瑞星扫描删除后。搞不懂扫描删除后文件大小比原来的还要变大了？

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; CIBA; TheWorld)
最后编辑Palkia 最后编辑于 2009-08-28 08:31:36
分享到：
gototop
 
Palkia
头像
强壮不惑狮
  • 帖子:1079
  • 注册: 2009-01-20
  • 来自:Subspace
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-08-28 08:30 | 只看楼主 短消息 资料
字号： 小 中 大 2楼

回复: 瑞星行为防御模块专项评测之五

上一帖附件满20了

发到这帖来。。

附件附件:

你的下载权限 1 低于此附件所需权限 180, 你无权查看此附件

附件附件:

你的下载权限 1 低于此附件所需权限 200, 你无权查看此附件

gototop
 
1415
头像
在线工程师
  • 帖子:428
  • 注册: 2009-06-29
  • 来自:
发表于： 2009-08-28 08:45 | 短消息 资料
字号： 小 中 大 3楼

回复：瑞星行为防御模块专项评测之五

感谢楼主的支持，您提交的的样本已经上报，请继续关注瑞星~
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT