微点交流论坛

标题: RAR与Folder Security Personal 3.6与未知特征库 [打印本页]

作者: 100000 时间: 2007-7-4 22:02 标题: RAR与Folder Security Personal 3.6与未知特征库

30号发生的情况，管理员仔细询问情况，经过比较仔细的比较，现在汇总在这里，便于查看
1.系统
XP SP2 上海政府版补丁全

2.微点
微点主动防御软件预升级（6月28日安装包）
程序版本： 1.2.10570.0156
特征版本： 1.6.360.070626
更新时间： 2007-06-28 09:51:51

3.相关软件
霏凡版Winrar3.70（会附在邮件中）
霏凡版Folder Security Personal 3.6（会附在邮件中）
将winrar的安装夹用Folder Security Personal 3.6设置为“只读”进行保护

4.不将winrar的程序加入微点的可信任表

5.解压样本包（会附在邮件中）

6.一个一个运行解压后的样本，微点全部拦截和清除成功，但是会报winrar的组件为木马并要求删除，随手点删除后再报Folder Security Personal 3.6的两个保护winrar文件夹的驱动secdir.sys和ELBYCDIO.sys为木马，并要求重起删除（未马上重起）

7.再次解压刚才的样本，发现winrar的右键功能已经失效，稍做修复后，样本顺利解压，微点的未知特征库正常发挥作用，所有未知样本在解压过程中被识别并清除。

8.卸载微点重新安装6.28版本

9.将winrar的所有.exe和.dll加入微点的可信任表

10.解压样本包

11.逐个运行解压后的样本，微点全部拦截和清除成功，但是不再报winrar为木马，也不会报Folder Security Personal 3.6的驱动为木马

12.再次解压样本包，微点的未知特征库未能识别其中的未知样本（已知的可以识别），未予自动清除

13.手动运行其中的样本，微点的未知特征库识别出未知样本，并清除成功，但是隔离区里找不到被隔离的样本

***************************
A.未将winrar添加可信任时，会报winrar及保护winrar的程序Folder Security Personal 3.6为木马，但是未知特征库识别正常

B.将winrar添加可信任时，不会报winrar和Folder Security Personal 3.6为木马，但是未知特征库识别异常，并隔离区异常

作者: Legend 时间: 2007-7-4 22:07
非常感谢 100000 的详细反馈，我们会使用您发送的程序，按照您所表述的详细操作步骤进行模拟测试。

作者: 100000 时间: 2007-7-4 22:19
已经回复到virus@micropoint.com.cn，并附上本贴连接。

另外
1.用Folder Security Personal 3.6保护的文件，微点不能删除，有时会不断要求重起
2.金山毒霸清理专家2.0的文件粉碎功能可以轻易删除Folder Security Personal 3.6保护的文件
3.金山毒霸清理专家2.0的文件粉碎功能可以删除微点的安装文件，但是系统会马上兰屏

[ Last edited by 100000 on 2007-7-4 at 22:31 ]

作者: Legend 时间: 2007-7-5 12:08
楼主的邮件已经收到，我们将尽快分析，谢谢楼主的反馈

欢迎光临微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn