850游戏远控木马

驭龙

pal家族 发表于 2016-9-12 10:40
如果是模拟真实用户操作，双击安装包安装呢？

双击安装包，安装完成以后，TrendMicro疯掉了，看图吧







不但病毒体被Aegis干掉，安装包都被回滚了，包括快捷方式也回滚了，报了三十多个记录。


具体看图吧，样本体和安装包等全部回滚＋启发杀掉了

vm001

驭龙 发表于 2016-9-12 11:06
双击安装包，安装完成以后，TrendMicro疯掉了，看图吧

这个我看不像是行为拦截的， 像是监控报的启发。。

驭龙

vm001 发表于 2016-9-12 11:10
这个我看不像是行为拦截的， 像是监控报的启发。。

是行为的，是因为一开始触发Aegis主防，然后附带的启发和回滚，这主防Aegis，回滚效果还是不错的

3801187

第一个IS开头的样本已入库，ATC拦截exe样本

vm001

驭龙 发表于 2016-9-12 11:11
是行为的，是因为一开始触发Aegis主防，然后附带的启发和回滚，这主防Aegis，回滚效果还是不错的

他这种可定不是行为报的，主防不一定就是只靠行为（比如微点的主防就靠了文件监控）
他报的这些文件你看下吧，不是没有签名就是没有详细信息的。。比如那个wh。。

你看下这个白+黑


这个就联网，没其他动作，估计也会报的

pal家族

驭龙 发表于 2016-9-12 11:11
是行为的，是因为一开始触发Aegis主防，然后附带的启发和回滚，这主防Aegis，回滚效果还是不错的

可以的

bbszy

驭龙 发表于 2016-9-12 11:06
双击安装包，安装完成以后，TrendMicro疯掉了，看图吧

不错不错

话说你测试的时候是高安全性？

驭龙

bbszy 发表于 2016-9-12 11:51
不错不错

话说你测试的时候是高安全性？

普通，要不然无法触发Aegis的

bbszy

驭龙 发表于 2016-9-12 11:55
普通，要不然无法触发Aegis的

其实之前版本的趋势对于这种恶意安装包也有奇效，就跟你今天测试的效果一样。不过趋势可能有再次加强了AEGIS。

驭龙

vm001 发表于 2016-9-12 11:19
他这种可定不是行为报的，主防不一定就是只靠行为（比如微点的主防就靠了文件监控）
他报的这些文件你 ...

关于TrendMicro的未经授权更改防护，也就是Aegis，只要是它报的，那就是行为分析

看你这个没有行为的远控，Aegis就没有杀。


为了让你看明白，我快照还原系统，关闭TrendMicro，安装850这个安装包，之后恢复TrendMicro，监控不杀文件。


我右键扫描也没有报。


凡是在未经授权更改日志中出现的威胁，就一定是Aegis行为分析了。