再次update！依然是那个不定时死灰复燃的奇怪驱动……

驭龙

应该是威胁，毕竟WD很少误报，但问题是WD不杀母体，所以无法解决，请使用文件记录软件，看看是什么程序生成的这个驱动，把母体干掉才能解决

zhou0197

pal家族 发表于 2015-11-2 22:06
报给卡巴，会给你象征性的入库一下，自然是not a virus打头

话说现在卡巴那边上报病毒之后，邮箱只能收到第一封自动回复了？后续对于样本是否clean的回复没有了？

pal家族

zhou0197 发表于 2015-11-3 08:51
话说现在卡巴那边上报病毒之后，邮箱只能收到第一封自动回复了？后续对于样本是否clean的回复没有了？

貌似只能通过技术支持上报才能得到后续回复，因为virusdesk是全球通用的。。。
apac那个邮箱也没有回复

zhou0197

驭龙 发表于 2015-11-3 08:51
应该是威胁，毕竟WD很少误报，但问题是WD不杀母体，所以无法解决，请使用文件记录软件，看看是什么程序生成 ...

此前观察到当求助者windows文件夹里面出现一个可疑的随机命名exe文件后，必然可以找到这个奇怪的驱动，关于两者的因果关系，因为此前对那个exe文件进行过测试，仅有联网行为，推测是驱动创建的exe文件……

当时布置了MD（学习模式）去监视这个exe文件的创建情况，只监控到了这个exe文件被执行的行为，创建的行为完全没有抓到…………

隐隐觉得这个对抗已经到了相当底层的程度了……

尘梦幽然

[mw_shl_code=css,true]Assessment
File1:        JKLhdsblabn.sys
MD5:        0x53D807863DB5176F168C9873A24136AD
SHA-1:        0xFAE929431B1B8E57FD813285065BDE5425886900
Machine:        Machine
Determination:        NewThreat
Submission Detail:        This file is detected as Trojan.Gen.2 with our existing Rapid Release definition set. Protection is available in Rapid Release definitions with a sequence number of 169303 or greater.
Signature Protection Name:        Trojan.Gen.2
Rapid Release Sequence Number:        169303

This message was generated by Symantec Security Response automation.[/mw_shl_code]

@pal家族

驭龙

zhou0197 发表于 2015-11-3 08:58
此前观察到当求助者windows文件夹里面出现一个可疑的随机命名exe文件后，必然可以找到这个奇怪的驱动，关 ...

把这随机文件发上来，看看

zhou0197

pal家族 发表于 2015-11-3 08:53
貌似只能通过技术支持上报才能得到后续回复，因为virusdesk是全球通用的。。。
apac那个邮箱也没有回复

是这里吗？？

我就是这么提交的，就一开始的那个自动回复而已……

尘梦幽然

zhou0197 发表于 2015-11-3 08:58
此前观察到当求助者windows文件夹里面出现一个可疑的随机命名exe文件后，必然可以找到这个奇怪的驱动，关 ...

要不你试试这变态家伙：https://security.symantec.com/nbrt/npe.aspx

记得开启rootkits扫描...

然后后面排出来的文件可以看看是什么情况。

pal家族

尘梦幽然 发表于 2015-11-3 08:58
[mw_shl_code=css,true]Assessment
File1:        JKLhdsblabn.sys
MD5:        0x53D807863DB5176F168C9873A24136AD

次次上报，然后给你象征性入库下
not a virus ADware......
没啥用，找不到母体，不过NPE可以试试，就是得控制下误报太狠了

pal家族

zhou0197 发表于 2015-11-3 09:00
是这里吗？？

我就是这么提交的，就一开始的那个自动回复而已……

是的，那个就是virusdesk，没得回复