帮忙测试一下主防（更新2：俺就觉得过SSF一个不正常嘛，抓了一个垫背的，过毛豆）

显示全部楼层 · 发表于 2015-12-7 09:27:26

本帖最后由墨家小子于 2015-12-8 13:01 编辑

这个样本（https://att.kafan.cn/forum.php?mo ... DkwNjM2MXwxODY4Mjk0）42楼再过毛豆，SSF就别说了

显示全部楼层 · 发表于 2015-12-7 20:31:07

执行的32位explorer，没有提示内存修改。COMODO过了。

回头自己写一个测试看看。

显示全部楼层 · 发表于 2015-12-7 21:10:25

嘻嘻嘻，我们来看美丽的Emsisoft

因为BD引擎已经入库，所以关闭文件保护+云端信誉差自动删除

第二张图出现的时候，我看到process hacker 里面是病毒调用explorer.exe。

第二张图允许以后，Emsisoft 的进程a2guard.exe 退出，托盘图标消失。然后malwarebytes anti-exploit 忽然跳出来保护了firefox。此时hitman pro alert 啥也没说

以上测试，病毒在沙盘中运行，Emsisoft 自我保护是打开的。

显示全部楼层 · 发表于 2015-12-7 21:35:57

墨家小子发表于 2015-12-7 20:42
你再好好测试一遍啊，把日志贴出来，还有截图

上个MD的图。

COMODO内存修改木有拦截。然后我很果断的删掉了 syswow64下面的explorer

然后就没有修改内存这一说了

白天上班~。明天再来一发测试。

显示全部楼层 · 发表于 2015-12-8 11:28:52

lixihong10 发表于 2015-12-8 11:19
本来应该是修改explorer进程内存，然后由explorer再去修改其他进程内存等。
拦截后由 ...

猜测：32位拦截无压力

你再试试这个：

运行svchost的，不过我这里运行svchost之后就挂掉了

显示全部楼层 · 发表于 2015-12-8 12:40:56

墨家小子发表于 2015-12-8 11:28
猜测：32位拦截无压力

你再试试这个：

64COMODO嗝屁。我是ESET搭配COMODO的。看来ESET的HIPS也要开启了

显示全部楼层 · 发表于 2015-12-7 10:00:02

卡巴拦截

显示全部楼层 · 发表于 2015-12-7 10:08:40

本帖最后由狐狸糊涂于 2015-12-7 10:19 编辑

Bitdefender : Trojan.GenericKD.2902707.
双击后ATC拦截并删样本

显示全部楼层 · 发表于 2015-12-7 10:27:03

显示全部楼层 · 发表于 2015-12-7 10:34:20

coco_mail 发表于 2015-12-7 10:27

就三步吗？

显示全部楼层 · 发表于 2015-12-7 10:37:25

小A没有主防

显示全部楼层 · 发表于 2015-12-7 11:39:46

卡巴网页就拦截了

显示全部楼层 · 发表于 2015-12-7 11:53:11

墨家小子发表于 2015-12-7 10:34
就三步吗？

只是简单测试而已, 其他行为忽略

显示全部楼层 · 发表于 2015-12-7 13:35:58

一下载就被360杀毒秒了，没运行测试。

显示全部楼层 · 发表于 2015-12-7 15:04:33

GD 网页拦截

[可疑文件] 帮忙测试一下主防（更新2：俺就觉得过SSF一个不正常嘛，抓了一个垫背的，过毛豆）

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块