Detection ratio: 0 / 54 加密勒索挂马 EEA v6 HIPS拦截注入 win8.1 X64下

显示全部楼层 · 发表于 2016-1-30 09:12:30

本帖最后由墨家小子于 2016-1-30 10:05 编辑

SHA256: 5f6d9e6c906072514152d0877695ee0afcd293b59df9ed3cb3db9fc0ea742d19
File name: 6897.tmp.exe
Detection ratio: 0 / 54
Analysis date: 2016-01-30 01:09:20 UTC ( 1 minute ago )
https://www.virustotal.com/en/file/5f6d9e6c906072514152d0877695ee0afcd293b59df9ed3cb3db9fc0ea742d19/analysis/1454116160/

特征码扫描什么的，在挂马面前就是一个浮云啊~~没有好一点的主防，就等着杯具吧！

ESET HIPS 注入拦截测试：
先注入explorer，拦截之后再注入svchost，估计第一次注入放行之后explorer还会注入svchost

再次测试，果然是放行explorer注入，之后explorer继续注入svchost（前提是ESET的HIPS没有记住之前有过explorer注入svchost的规则）

补充关于ESET HIPS中“修改其他应用程序的状态”的说明截图：

显示全部楼层 · 发表于 2016-1-30 09:16:08

显示全部楼层 · 发表于 2016-1-30 09:31:35

又是右键扫描不杀

显示全部楼层 · 发表于 2016-1-30 09:52:42

显示全部楼层 · 发表于 2016-1-30 09:56:12

AVG：

扫描：miss；

双击：实机双击，IDP击杀之（注入explorer.exe）。

"";"IDP.SMP.11, C:\Users\kiiler\Desktop\6897.tmp.exe";"Deleted, Moved to Virus Vault";"File or Directory";"2016/1/30, 9:54:11"
"";", C:\Windows\explorer.exe";"Object was blocked";"Process";"2016/1/30, 9:54:11"
"";", C:\Users\kiiler\Desktop\6897.tmp.exe";"Object was blocked";"Process";"2016/1/30, 9:54:11"

显示全部楼层 · 发表于 2016-1-30 10:08:16

aboringman 发表于 2016-1-30 09:56
AVG：

扫描：miss；

弄个win8.1 X64或者win10 X64试试？

敢不？

显示全部楼层 · 发表于 2016-1-30 10:10:13

kingfa520 发表于 2016-1-30 09:52

ESET云杀来啦！！！

显示全部楼层 · 发表于 2016-1-30 10:12:07

过BD扫描~

显示全部楼层 · 发表于 2016-1-30 10:15:36

墨家小子发表于 2016-1-30 10:08
弄个win8.1 X64或者win10 X64试试？敢不？

只用Win7的路过，而且只钟爱32位。。。。。。

64位实在不敢恭维

显示全部楼层 · 发表于 2016-1-30 10:26:09

过卡巴

[可疑文件] Detection ratio: 0 / 54 加密勒索挂马 EEA v6 HIPS拦截注入 win8.1 X64下

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源