Locky 1只 Cerber 1只

显示全部楼层 · 发表于 2016-7-21 08:49:37

nick20010117 发表于 2016-7-21 08:45
好吧，真让我有些尴尬，上次中了ramnit也是这样，你那里都杀了，我这边都漏了……
看来蜘蛛的这个 ...

是的，就是黑寡妇主防的监控机制问题，我反馈给官方，官方说不是BUG是因为DPH只监控新PE文件，如果是已存在的，就不监控，你那里可能是之前双击过，已标记为不是新PE，所以可能就不杀了，这确实是比较坑

显示全部楼层 · 发表于 2016-7-21 08:52:11

驭龙发表于 2016-7-21 08:49
是的，就是黑寡妇主防的监控机制问题，我反馈给官方，官方说不是BUG是因为DPH只监控新PE文件，如果是已存 ...

我这边是衍生物进行了加密，好像并不是注入，幸亏我及时终止了进程

显示全部楼层 · 发表于 2016-7-21 08:55:41

nick20010117 发表于 2016-7-21 08:52
我这边是衍生物进行了加密，好像并不是注入，幸亏我及时终止了进程

其实那个衍生物就是本体，但在加密之前似乎有注入的行为，所以就杀了，如果没拦截那就基本上过了，据说cerber是VBS类型，会不会是因为这个，黑寡妇不能应对其加密的功能？

显示全部楼层 · 发表于 2016-7-21 11:12:32

驭龙发表于 2016-7-21 08:55
其实那个衍生物就是本体，但在加密之前似乎有注入的行为，所以就杀了，如果没拦截那就基本上过了，据说ce ...

有可能，另外我试过一个样本，dll的加密勒索，好像要用svchost.exe执行，蜘蛛也不杀

显示全部楼层 · 发表于 2016-7-22 07:37:04

nick20010117 发表于 2016-7-21 11:12
有可能，另外我试过一个样本，dll的加密勒索，好像要用svchost.exe执行，蜘蛛也不杀

蜘蛛对线程类的行为防御很弱

显示全部楼层 · 发表于 2016-7-22 08:42:05

驭龙发表于 2016-7-22 07:37
蜘蛛对线程类的行为防御很弱

那就很坑了，也许就只能靠EP来阻止勒索挂马入侵了

显示全部楼层 · 发表于 2016-7-22 08:48:14

nick20010117 发表于 2016-7-22 08:42
那就很坑了，也许就只能靠EP来阻止勒索挂马入侵了

然而大部分的勒索首次进入系统的时候，都会被DPH干掉，只是对于你这种测试容易漏，毕竟是自己下载以后解压关闭监控测试的啊，真实环境的话，漏的不一定很多

[病毒样本] Locky 1只 Cerber 1只