Detection ratio: 5 / 56 神网又出现了，诺顿声纳+SSF护航，结局是重装系统

3801187

墨家小子

尘梦幽然 发表于 2016-3-19 10:11
求PM
对于IPS不能拦截的东西我都感兴趣。

IPS可以拦截这个挂马网页，最开始不可以，过了一天就可以拦截了，昨晚是关闭 IPS开着自动防护中招的

墨家小子

vm001 发表于 2016-3-19 12:18
怎么添加的启动项你不知道？有点像注册动态链接库来随着系统explorer启动来加载木马dll

那个dll文件，即使SSF允许也抓不到，不知道怎么回事，也看不到是怎么启动的，捉急啊 这回子网页消停得很，没有木马了，等晚上再试试看能不能抓到这个DLL

aboringman

AVG：

扫描：miss；

双击：实机双击，IDP击杀之。（联网状况下）

"";"IDP.Trojan.B64A8C89, C:\USERS\KILLER\DESKTOP\TMP40E5.EXE";"Deleted";"File or Directory";"2016/3/19, 14:12:49"

"";", C:\USERS\KILLER\DESKTOP\TMP40E5.EXE";"Object was blocked";"Process";"2016/3/19, 14:12:49"

"";", C:\Users\killer\Documents\nnhqst.exe";"Object was blocked";"Process";"2016/3/19, 14:12:49"

"";", C:\Windows\System32\cmd.exe";"Object was blocked";"Process";"2016/3/19, 14:12:49"

"";", C:\Users\killer\Documents\nnhqst.exe";"Deleted, Moved to Virus Vault";"File or Directory";"2016/3/19, 14:12:49"

"";", C:\USERS\KILLER\DESKTOP\TMP40E5.EXE";"Object was blocked";"Process";"2016/3/19, 14:12:49"

shadowqs

意思ESET还是挺厉害的咯？

墨家小子

shadowqs 发表于 2016-3-19 15:16
意思ESET还是挺厉害的咯？

配置不行，不然我就试试BD ATC能不能拦截到对系统进程的注入，我另外一个帖子里截图显示eset是拦截到了explorer被注入以及注入别的系统程序的

kxmp

墨家小子 发表于 2016-3-19 09:14
对，你装了ESET就是这样，我刚才测试也是，挂马进入本地之后貌似ESET会对其有很大影响，样本会报错退出

这叫免疫

kxmp

墨家小子 发表于 2016-3-19 14:11
那个dll文件，即使SSF允许也抓不到，不知道怎么回事，也看不到是怎么启动的，捉急啊 这回子网页消 ...

等会我来给你抓

kxmp

喂, 我都不想说了.
双击了他都不动. 没效果啊!


2016-03-19 16:14:23
a !! 刚发完贴有效果了!!!

没看到dll 你这个是加密样本

jmekoda1

BD直接拦截一切，连系统注册值这关都没过喔~