File name: AADB.tmp Detection ratio: 9 / 56 注入系统程序 SONAR信仰崩溃帖

显示全部楼层 · 发表于 2016-11-17 11:06:43

本帖最后由墨家小子于 2016-11-17 18:10 编辑

https://www.virustotal.com/en/file/a5a3f80aabe3b0e3b07c86ff1ca5e78fe30413d5c8b7eb71f04721152f22b3ee/analysis/

进入挂马网页，木马tmp带回本地，木马即将注入系统程序的时候HMPA拦截（为什么进入挂马网页的时候HMPA没有拦截）
将tmp换成exe文件，关闭HMPA，双击，注入被拦截（系统win8.1 X64）.为什么上一个样本注入的ctfmon.exe

显示全部楼层 · 发表于 2016-11-17 11:30:23

诺顿被过掉，我这被注入的是mstsc.exe！

显示全部楼层 · 发表于 2016-11-17 11:37:11

胖福发表于 2016-11-17 11:30
诺顿被过掉，我这被注入的是mstsc.exe！

IPS没有反应吗？

显示全部楼层 · 发表于 2016-11-17 11:40:29

墨家小子发表于 2016-11-17 11:37
IPS没有反应吗？

我这已经乱套了，IPS一秒一个弹窗根本停不下来都是D041造成的，在一堆日志里找到了mstsc.exe被IPS阻止的记录，好在就只有一次！

显示全部楼层 · 发表于 2016-11-17 11:41:51

胖福发表于 2016-11-17 11:40
我这已经乱套了，IPS一秒一个弹窗根本停不下来都是D041造成的，在一堆日志里找到了mstsc.exe被IPS阻止的 ...

同一个ip被IPS阻止以后，半个小时之内会自动阻止，所以应该不会再显示同一个攻击

显示全部楼层 · 发表于 2016-11-17 11:47:23

胖福发表于 2016-11-17 11:40
我这已经乱套了，IPS一秒一个弹窗根本停不下来都是D041造成的，在一堆日志里找到了mstsc.exe被IPS阻止的 ...

怎么不关闭IPS试试SONAR的BHEngine版本大更新，SONAR 11.0引擎驾临，真的是悄然而至

显示全部楼层 · 发表于 2016-11-17 11:57:18

墨家小子发表于 2016-11-17 11:47
怎么不关闭IPS试试SONAR的BHEngine版本大更新，SONAR 11.0引擎驾临，真的是悄然而至

这种东西都是SONAR被日了IPS才会出来的！

显示全部楼层 · 发表于 2016-11-17 12:01:33

驭龙发表于 2016-11-17 11:41
同一个ip被IPS阻止以后，半个小时之内会自动阻止，所以应该不会再显示同一个攻击

显示全部楼层 · 发表于 2016-11-17 12:05:17

胖福发表于 2016-11-17 11:57
这种东西都是SONAR被日了IPS才会出来的！

冷静冷静……

显示全部楼层 · 发表于 2016-11-17 12:06:09

胖福发表于 2016-11-17 12:01

这个是那个D401造成的，我用SSF能够看样本连的就是这个地址

[可疑文件] File name: AADB.tmp Detection ratio: 9 / 56 注入系统程序 SONAR信仰崩溃帖

本帖子中包含更多资源

本帖子中包含更多资源