【閒聊】"天堂殺手"木馬的最新變種Trojan/PSW.Lineage.cq

[kaspersky]

我比較關心的是這幾套軟體即使掃不到，但會不會對其病毒行為做出警告，以前DOS下的防毒軟體都有這些判斷未知毒的功能，感覺windows上純粹是用病毒碼去防範的，遇到最新的就掛了

其實尤金•卡巴斯基針對這點有發表過一些看法

他認為防毒軟體不像一般的程式所需要解決的只是自己的所產生的問題

需要面對的卻是與防毒軟體撰寫者擁有同樣智慧甚至更高的"活生生"的人

也因此想要自動化的去做到一些事情

確實是有一定程度的困難

因為 永遠無法去預期"人"將會想要做什麼 能夠做到什麼

這個問題 從有人類文化開始 便是一個無法被解決的問題

[mus000]

我比較關心的是這幾套軟體即使掃不到，但會不會對其病毒行為做出警告，以前DOS下的防毒軟體都有這些判斷未知毒的功能，感覺windows上純粹是用病毒碼去防範的，遇到最新的就掛了

以前在 DOS 下能玩的花樣比較少。所以一些常見的病毒活動模式，才可以先預見然後防止。

現在 windows 下加上 ie 功能帶來的一些便利性，相對的也提高病毒活動的多樣性。加上很多病毒都是透過Windows系統跟IE漏洞鑽進來的。怎麼防?

以前在DOS下，可沒有IE這種玩意兒。

而且，既然是未知病毒，又豈能完全事先『預知』到病毒會怎麼玩呢?
所以道高一尺，魔高一丈。

或許就像微軟自家出的 antispyware，把自家的 IE 當成最大的病源給移除掉，才是治本的方式。

=======================
【新聞】
家門不幸!微軟反間諜軟體會刪除IE

現時，許多Windows用戶都下載了微軟最新的反間諜軟體，又或者透過自動的Windows update裝設了它。然而有點不可思議，這款軟體竟然可以把IE當作間諜軟體，並從系統中刪除了它。

　　微軟發言人Elias Weatherbee表示，該款反間諜軟體處於測試階段，相應補丁很快推出。在未修復這個漏洞前，公司不會再提供它的下載。今次事件可體現出微軟反間諜軟體的強大之處，它不僅能夠刪除系統堛熄▼珜n體，而且可以刪除間諜軟體傳播的源頭，而競爭對手的產品是不能相比的。

　　同樣是銷售間諜軟體移除工具的Lavasoft公司表示，微軟利用了其作業系統的壟斷優勢提供了其他競爭對手產品沒有的功能。微軟的Weatherbee回應，簡直一派胡言！大多數用戶都不會喜歡這項新功能。一位叫Graham Newton的Windows XP用戶談到，今早在查看天氣報告時，發現系統上的所有藍色小"e"圖示（htm文件默認圖示）都丟失了，根本不能上網沖浪，看來要換過一台新電腦。

　　使用其他瀏覽器的用戶可能會暗自發笑，IE終於消失啦！Mozilla用戶組的Thad Freeman甚至諷刺地說，多年來，我一直希望能夠把IE從系統中卸載下來，今次完全沒想到微軟竟然伸出援手。

　　微軟技術支援中心建議廣大用戶，要重新穫得IE支援就得重裝Windows系統，並關閉Windows自動更新功能。

[天氣預報]

說到Bloodhound
前陣子我看了一下介紹
我大概知道是什麼了

它只是在微軟公開某些漏洞時
預設一個針對這些漏洞的病毒碼加已防範而已
至於不常見的木馬病毒
Bloodhound是沒什麼作用的

[pingu]

而且，既然是未知病毒，又豈能完全事先『預知』到病毒會怎麼玩呢?
所以道高一尺，魔高一丈。

或許就像微軟自家出的 antispyware，把自家的 IE 當成最大的病源給移除掉，才是治本的方式。

要「完全」預知當然不可能，但假如對一些重要的系統檔案修改之類的整合起來應該可以做一些判斷規則，以前dos下不也是如此，記的當初還有所謂的模擬CPU的技術，好像是把病毒載入一個虛擬環境執行判斷是否病毒行為，後來只看到Zlock這間公司出過一次這類的軟體（不過後來也消失了，好想玩玩看）http://www.y2000.com.tw/166-7/zavlab.htm
，之後就未曾聽聞有這種技術應用，大概直的是windows系統太複雜了

[inutoneko]

說到Bloodhound
前陣子我看了一下介紹
我大概知道是什麼了

它只是在微軟公開某些漏洞時
預設一個針對這些漏洞的病毒碼加已防範而已
至於不常見的木馬病毒
Bloodhound是沒什麼作用的

Bloodhound 在 Norton AntiVirus 5.0 開始有，記得當時是說的很神奇啦。不過我從以前用賽門鐵克產品就從來沒偵測到什麼未知病毒(Bloodhound.XXX的)。

今天我又把 Panda 換成 NOD32，發現 NOD32 可以選擇不使用病毒定義偵測耶 ，馬上把之前的 atozvirus.rar (有 3000多個病毒的壓縮檔) 拿來試試看，猜猜看 3583 個檔案能偵測到幾個？答案是 3323 個，真的是相當驚人。不知道有沒有作弊。另外一提，連著病毒定義一起掃的結果是 3458， 連趨勢的產品都比不上。 NOD32真是個奇怪的防毒軟體，病毒定義是擺好看的嗎？

優點，掃描速度真的相當快。

(抱歉讓這討論串拖這麼長...第一次發文太興奮了 )

[hpo14]

我抓的檔案應該跟你有點小出入..因為我總掃瞄數少你11個檔案...
不過檔案名一樣..

防毒：McAfee VirusScan Enterprise 8.0i (Patch1,4,5,7,8,9)
[05.02.01更新]

[darren2000]

前幾天我家另一台電腦有問題

我去檢查一下 結果

用KAV怎麼掃都沒問題...但是網路登一直閃

我就檢查run底下的東西...發現exploret

拿去趨勢線上掃毒掃的出來..其他大陸防毒軟體也都可以

所以就用yahoo信箱回報KAV...不過norton卻可以讓他夾帶檔案..

下面檔案看哪一家還不能查的話快回報吧

解壓密碼:darren2000

[kaspersky]

KAV 可查

[skit1030]

Nod32之前的幾個下載下來就會跳出警告
樓上這個變種下載下來沒警告 解壓縮沒警告
把進階智能打開 調到深入還是不行@@"

看來要回報了..

[yuping]

前幾天我家另一台電腦有問題

我去檢查一下 結果

用KAV怎麼掃都沒問題...但是網路登一直閃

我就檢查run底下的東西...發現exploret

拿去趨勢線上掃毒掃的出來..其他大陸防毒軟體也都可以

所以就用yahoo信箱回報KAV...不過norton卻可以讓他夾帶檔案..

下面檔案看哪一家還不能查的話快回報吧

解壓密碼:darren2000

Panda沒反應..
已經回報了...
回信如下：
Dear customer:

We are enclosing a link to the updated signature file.

http://www.pandasoftware.com/virus_info/disclaimer.htm

This file has been created in order to detect and disinfect your malware. We will shortly make available to all our customers the new certified signature file, which will be accessible through the automatic updates.

Once the virus signature file is downloaded, please follow the procedure below:
1.- Decompress the PAV.ZIP file in the directory in which your antivirus is installed. If the signature file cannot be replaced, use the tool with such object, that can be downloaded from the following URL: http://www.pandasoftware.com/virus_i...mer_update.htm.
2.- Restart your computer and use your antivirus normally.

Should you have any question about this process, you may contact our technical support department ([email protected]), where you will be given the appropriate indications.

The file exploret.exe belongs to the trojan Trj/Lineage.V, due to the nature of the file, it can only be deleted.

The following advice will help you to eliminate the Trj/Lineage.V and protect yourself against it in future.
Visit our web page with information about the malware:
http://www.pandasoftware.com/virus_i...?idvirus=58874
Follow the instructions on how to eliminate the malware:
http://www.pandasoftware.com/virus_i...?idvirus=58874

If the malware is inside a CAB file, then you must delete this CAB file manually.

If your computer has Windows Millennium or Windows XP installed, you can find information to permanently remove all trace of the virus in the following URL:
Windows Milenium
http://www.pandasoftware.com/support...=17&IdIdioma=2
Windows XP
http://www.pandasoftware.com/support...=18&IdIdioma=2

At http://www.pandasoftware.com/virus_info there is extensive information on all malware detected by our antivirus, as well as the steps to take to remove them from your system.

If you want more information on how to update your antivirus and the action to take when new viruses appear, visit our Support pages at: http://www.pandasoftware.com/support/. You will also find full information and FAQs about your product.
We hope this answer has been helpful and do not hesitate to contact us should you need any suspicious file analyzed in future.

If you do not have an antivirus program or you would like to receive up-to-date information about the characteristics of our new products and which types of malware detects each of them, we offer you the Panda antivirus solution that best meets your needs.
http://www.pandasoftware.com/products

Best regards,

PandaLabs