File name: TempradFED05.tmp EAM拦截加密勒索失败 HMPA拦截加密勒索（单独测试）

墨家小子

单独测试HMPA防御加密勒索，放行注入修改svchost内存，结果HMPA拦截到加密！

墨家小子

Tomin2009 发表于 2016-11-30 11:59
效果不错

这个有点像AD拦截启动执行程序

Virus4

瑞星新引擎Kill 5
WD kill 3

lzy2010000

Tomin2009 发表于 2016-11-30 11:59
效果不错

这是啥软件

墨家小子

lzy2010000 发表于 2016-11-30 12:39
这是啥软件

WinAntiRansom
https://www.winpatrol.com/WinAntiRansom/

lzy2010000

墨家小子 发表于 2016-11-30 12:49
WinAntiRansom
https://www.winpatrol.com/WinAntiRansom/

感谢

rrorr

EAM注入还是有反应的

"";"IDP.Program.D1B0A5C0, C:\Users\Administrator.PC-20151228ESVT\Desktop\TempradFED05.exe";"已删除, 已隔离";"文件或目录";"2016/11/30, 12:54:45"
"";", C:\Users\Administrator.PC-20151228ESVT\Desktop\TempradFED05.exe";"已阻止该对象";"进程";"2016/11/30, 12:54:45"
"";", C:\Users\Administrator.PC-20151228ESVT\AppData\Local\Temp\incentives.dll";"已删除, 已隔离";"文件或目录";"2016/11/30, 12:54:45"
"";", C:\Users\Administrator.PC-20151228ESVT\AppData\Local\Temp\nssF595.tmp\System.dll";"已删除, 已隔离";"文件或目录";"2016/11/30, 12:54:45"
"";", C:\Users\Administrator.PC-20151228ESVT\Desktop\TempradFED05.exe";"已阻止该对象";"进程";"2016/11/30, 12:54:45"

墨家小子

rrorr 发表于 2016-11-30 13:00
EAM注入还是有反应的

"";"IDP.Program.D1B0A5C0, C:%users\Administrator.PC-20151228ESVT\Desktop\Temp ...

有反应是指样本注入修改自身，这一步拦截基本没有意义。等到样本修改svchost的时候，EAM没有反应。你看声纳拦截的名称。最好把SEP换成SSF，SSF能够显示样本注入修改svchost拦截

流水寒丶

ESET4.2全杀

欧阳宣

cylance全部隔离