VMP加壳对BD扫描查杀的影响

显示全部楼层 · 发表于 2017-1-6 20:31:16

本帖最后由 ccboxes 于 2017-1-6 20:44 编辑

@vm001
看到测试360 火绒卡巴腾讯管家对病毒样本加vmp壳后的扫描测试后，要来了密码对BD的引擎进行了测试。

结果：

文件名	查杀结果
文件名	加壳前	加壳后
Slimhem.exe	Trojan.GenericKD.3882025	Trojan.GenericKD.4131373
Manifestus.exe	Trojan.Generic.20084319	未检出 ATC杀
MRCR1.exe	Gen:Variant.Ransom.Xmas.1	未检出 ATC杀
Maktub Locker.exe	Trojan.Agent.CCFR	Trojan.GenericKD.4131437
CryptoLocker3.exe	Trojan.Generic.20115695	Gen:Trojan.Heur.RP.oHW@aunPW2oi
AdamLocker.exe	Trojan.GenericKD.4042550	Trojan.GenericKD.4132104
Alphabet.exe	Trojan.GenericKD.4064850	未检出 ATC杀
DummyEncrypter.exe	Trojan.Generic.17937262	Trojan.GenericKD.4131438
ASN1 Ransomware.exe	Trojan.Agent.CCFP	MemScan:Trojan.Agent.CCFP
BrainCrypt.exe	Trojan.Crypt.QK	Gen:Trojan.Heur.PT.L5W@b8ZDG9k

结论：
BD引擎看上去有对加VMP壳程序有不错的防护能力，但似乎还是入库大法好。只有两个是启发杀，一个可能是脱壳杀。根据原测试来看，火绒倒在脱VMP上有独到之处。

显示全部楼层 · 发表于 2017-1-6 20:35:53

这个ATC怎么这么牛。。谁能过掉他。。

显示全部楼层 · 发表于 2017-1-6 20:39:24

vm001 发表于 2017-1-6 20:35
这个ATC怎么这么牛。。谁能过掉他。。

你加壳的时候参数都是一样的吗？

显示全部楼层 · 发表于 2017-1-6 20:44:22

ccboxes 发表于 2017-1-6 20:39
你加壳的时候参数都是一样的吗？

都一样

显示全部楼层 · 发表于 2017-1-6 20:48:01

vm001 发表于 2017-1-6 20:44
都一样

那就有点奇怪了，BD的报毒名很杂，我一直在试图找到一些规律啥的。那个ASN1 Ransomware.exe看来是可以被脱壳杀，但同样被入库的Maktub Locker.exe加壳后却是暴力入库杀，还是要再研究啊。

显示全部楼层 · 发表于 2017-1-6 20:49:08

最后卡巴的调查结果是，针对正版或未拉黑key的vmp不做静态脱壳处理，加壳后需要当做新文件入库。盗版vmp壳直接启发杀。@vm001
可惜了。

显示全部楼层 · 发表于 2017-1-6 20:52:35

pal家族发表于 2017-1-6 20:49
最后卡巴的调查结果是，针对正版或未拉黑key的vmp不做静态脱壳处理，加壳后需要当做新文件入库。盗版vmp壳 ...

我竟无言以对

显示全部楼层 · 发表于 2017-1-6 20:57:37

pal家族发表于 2017-1-6 20:49
最后卡巴的调查结果是，针对正版或未拉黑key的vmp不做静态脱壳处理，加壳后需要当做新文件入库。盗版vmp壳 ...

其实对于加壳后处理不一定非要脱，比如现在的bd方式，比如之前测试的管家方式，再比如火绒的一部分方式。。

显示全部楼层 · 发表于 2017-1-6 21:00:19

qftest 发表于 2017-1-6 20:52
我竟无言以对

蜜兔

显示全部楼层 · 发表于 2017-1-6 23:49:23

pal家族发表于 2017-1-6 21:00
蜜兔

me three……

[讨论] VMP加壳对BD扫描查杀的影响