精睿样本测试（17.6.23）

显示全部楼层 · 发表于 2017-6-24 13:43:44

欧阳宣发表于 2017-6-24 13:09
https://drive.google.com/file/d/0B7oQlAy_-lZBeWZTY1REcGNDdWs/view?usp=sharing

infected

过了一遍自动管线，基本全都是office文档、脚本或者网页……
剩下5个左右exe其中有两个似乎还是白文件（VT只有一个suspicious检出），唯一一个比较确定的还在跑

显示全部楼层 · 发表于 2017-6-24 13:56:44

B100D1E55 发表于 2017-6-24 13:43
过了一遍自动管线，基本全都是office文档、脚本或者网页……
剩下5个左右exe其中有两个似乎还是白文件（ ...

能过eset扫描的pe文件本来就很少了

然后脚本，文档要是能双击就厉害了，虽然很耗时间

显示全部楼层 · 发表于 2017-6-24 14:01:18

欧阳宣发表于 2017-6-24 13:56
能过eset扫描的pe文件本来就很少了

然后脚本，文档要是能双击就厉害了，虽然很耗时间

其实我的系统可以自动跑，但测这些没什么意义。恶意文档内嵌链接大多失效了，已经变成了实质上没什么害处的文件。这种包扫描检测率太高的话反倒挺可怕的

显示全部楼层 · 发表于 2017-6-24 14:07:47

欧阳宣发表于 2017-6-24 03:38
我没记错的话QEX只能杀脚本

这个样本包里有不少脚本病毒，你可以看楼下贴的扫描日志，其中virus.*|macro.*结果为QEX检出。

显示全部楼层 · 发表于 2017-6-24 16:33:42

kepuzhishi 发表于 2017-6-24 14:07
这个样本包里有不少脚本病毒，你可以看楼下贴的扫描日志，其中virus.*|macro.*结果为QEX检出。

所以什么叫“非PE文件不过QEX引擎”呢……反而只有非PE文件才走QEX啊

而且virus你确定是脚本的意思么，真正QEX的报法是带qexvmc字样的

显示全部楼层 · 发表于 2017-6-24 19:52:21

Bullguard, miss44

显示全部楼层 · 发表于 2017-6-24 20:09:22

还剩下52个文件，不升级病毒库5.19的只能查杀21个

显示全部楼层 · 发表于 2017-6-24 21:57:19

欧阳宣发表于 2017-6-24 16:33
所以什么叫“非PE文件不过QEX引擎”呢……反而只有非PE文件才走QEX啊

而且virus你确定是脚本的意思么 ...

我记得回你的这位是360 QEX的开发人员之一

显示全部楼层 · 发表于 2017-6-24 22:01:24

本帖最后由 B100D1E55 于 2017-6-24 22:16 编辑

欧阳宣发表于 2017-6-24 13:56
能过eset扫描的pe文件本来就很少了

然后脚本，文档要是能双击就厉害了，虽然很耗时间

唯一一个比较确定的064.vir AMS没反应。不过这个downloader似乎已经死了，理论上来说如果下载的病毒payload的确应该杀，但从真实防御测试这个角度来说的话算失效样本……所以测这种东西时效性很重要，很多情况下你搞不清楚不杀是不是也算合理。
更正一下：发现064访问的exe还在：
http://service.bosafe.com/update/agent/peertray.exe
http://service.bosafe.com/update/agent/atp.conf
下载下来是一个代{过}{滤}理软件……哈哈哈哈哈哈

显示全部楼层 · 发表于 2017-6-25 01:40:44

B100D1E55 发表于 2017-6-24 21:57
我记得回你的这位是360 QEX的开发人员之一

我怂，我怂……

[病毒样本] 精睿样本测试（17.6.23）

本帖子中包含更多资源