我今天是被中毒了，火绒太让我失望了

wang93wei · 发表于 2014-7-13 23:33:48

本帖最后由 wang93wei 于 2014-7-13 23:49 编辑

rar里面的exe文件太恶心了

火绒扫描竟然提示无异常

等我双击打开后各种弹框，就是没作为。

这就是宣传的好？实际就是个空架子？

结果我最后用360系统急救箱在安全模式下把整个病毒的所有在system32文件全都干掉了

火绒究竟是不是一款杀毒软件？为什么效果这么差？防范未知病毒的能力怎么能这么弱？

建议不要在真实系统内测试
http://pan.baidu.com/s/1dDAaLYp

lyxlgr · 发表于 2014-7-17 11:34:38

hwl573452046 发表于 2014-7-14 08:01
楼主家网速一定很好 80M大小的.exe文件，真心少见

java 的JDK .exe都155M，1G多的exe我都遇到

236571208 · 发表于 2014-7-17 09:57:29

Hay 发表于 2014-7-15 12:22
弹出的框，如果用户没有做选择，程序不会继续运行，你可以慢慢点，而且像这样的捆绑拦截，不是永驻主动双 ...

这样会不会不太好，能不能加个队列，或者批量的？

wang93wei · 发表于 2014-7-17 00:00:33

本帖最后由 wang93wei 于 2014-7-17 00:03 编辑

Hay 发表于 2014-7-15 12:22
弹出的框，如果用户没有做选择，程序不会继续运行，你可以慢慢点，而且像这样的捆绑拦截，不是永驻主动双 ...

后续我发现还有软件没清理干净，火绒扫描也检测不出来，然后又给我装了一大堆软件
于是我重新用360急救箱和金山系统急救箱扫描了一遍，现在目测是好了，我都不知道会不会再出现

Hay · 发表于 2014-7-15 12:22:01

wang93wei 发表于 2014-7-15 00:46
我怎么可能放过，那框弹得比我手动还快，我怎么点？你录个视频教我？

弹出的框，如果用户没有做选择，程序不会继续运行，你可以慢慢点，而且像这样的捆绑拦截，不是永驻主动双击的，你不选择，超时后默认是阻止的

yanmoxue · 发表于 2014-7-15 09:08:20

Hay 发表于 2014-7-14 10:44
谢谢你的反馈，样本已经处理了。今天更新后就可以检测了。这是一个捆绑很多软件的大安装包。火绒漏掉了其中 ...

速度真快，赞一个！

wang93wei · 发表于 2014-7-15 00:46:11

Rosa真紅发表于 2014-7-14 08:46
多大的文件我都能打包进去
楼主的文件解压之后在目录下找到setup.bat文件
文件内容是

我怎么可能放过，那框弹得比我手动还快，我怎么点？你录个视频教我？

火龙2013 · 发表于 2014-7-14 17:50:58

嘿嘿，可以根据这个捆绑软件的程序的行为，制定HIPS规则来防御。

Hay · 发表于 2014-7-14 10:44:33

谢谢你的反馈，样本已经处理了。今天更新后就可以检测了。这是一个捆绑很多软件的大安装包。火绒漏掉了其中的4个，已经补上了。另外这个样本也可以检测了

1070841883 · 发表于 2014-7-14 08:58:49

关于超过10M大小的文件，可以上传网盘反馈到论坛或者群，火绒也不是万能的，楼主只有像这样提供给火绒样本，工程师分析过后才能帮助软件提高。

Rosa真紅 · 发表于 2014-7-14 08:46:31

hwl573452046 发表于 2014-7-14 08:01
楼主家网速一定很好 80M大小的.exe文件，真心少见

多大的文件我都能打包进去
楼主的文件解压之后在目录下找到setup.bat文件
文件内容是
@echo off
if "%1" == "h" goto begin
mshta vbscript:createobject("wscript.shell").run("""%~nx0"" h",0)(window.close)&&exit
:begin
REM
start setup_xscroch.exe
start zhezi_setup_Z29B.exe
start jmrexis_30360.exe
start qholsn_70521.exe
start setup_s1026.exe
start good_t_20008.exe
start 4qn5_installer_cn.exe
start X4003.exe
start -8836_168700_mvy.exe
start setup_2948-149926.exe
start UUSEE_kb1003_Setup_162351.exe
start sonlinetime_1241.exe
start IFoxInstall-y-c203948868-run-s-x.exe
start pczh_110_171617.exe
start sjss_jing_zhimeng_202.exe
start 365weatherIns_199.exe
start setupsbdm-zm-6003.exe
start a-zm-171923-v6.exe
start 2suys_31_1005_01.exe
start WPS.3156.60.1507.exe
start tqrlcctv_long2_001.exe
start fhsli&zmqd_2007_173247
start KINSTALLERS_74_3266.exe
start jbist_[2043].exe
start jcyy_jingm_zhimeng_101.exe
EXIT
不知道其中有没有楼主需要的估计没有看起来就是个流氓软件包
楼主删掉的文件未必全是流氓软件如果只有system32目录被修复的话99%还有其它残留
最应该担心的是不知道哪个软件动了你的注册表改了系统设置用个卫士扫一遍清理插件再卸掉陌生的软件最后用Windows的系统还原如果有的话
PS:大部分的流氓软件没有病毒行为但是系统防护应该会提示被你放过
对付这种EXE大包我一般用7z先解解不了的sandboxie下运行再在sandboxie目录下找文件实在不行查壳脱壳
顺便下载到流氓包的那个网站有信誉评级的话给它个差评

hwl573452046 · 发表于 2014-7-14 08:01:48

楼主家网速一定很好 80M大小的.exe文件，真心少见

我今天是被中毒了，火绒太让我失望了

点评