疑似MBR敲竹杠全家桶？要你命3000？

显示全部楼层 · 发表于 2017-6-24 22:52:00

B100D1E55 发表于 2017-6-24 22:37
哈哈哈哈哈放在反反虚拟机里跑了一下画面太美……

顺便求反反虚拟机设置…………我这里好像跑不出什么行为，行为信息来自求助对象。

显示全部楼层 · 发表于 2017-6-24 22:54:32

毒霸
[mw_shl_code=css,true]扫描时间：[2017-06-24 22:53:33]
扫描用时：[00:00:05]
扫描类型：自定义查杀
扫描文件总数：1
扫描速度：1文件/秒
发现威胁：1个
清除威胁：1个
=============================================
[2017-06-24 22:53:46]
威胁：f:\浏览器下载\client\client.exe
类型：win32.troj.undef.(kcloud)
处理方式：删除

[/mw_shl_code]

显示全部楼层 · 发表于 2017-6-24 23:05:22

本帖最后由 B100D1E55 于 2017-6-24 23:06 编辑

zhou0197 发表于 2017-6-24 22:52
顺便求反反虚拟机设置…………我这里好像跑不出什么行为，行为信息来自求助对象。

似乎这个样本有检查虚拟机网卡地址……
如果是linux+virtualbox搭配的话个人推荐使用https://github.com/nsmfoo/antivmdetection
然后可以用pafish来验证是否反反成功https://github.com/a0rtega/pafish （我自己的机器除了vm exit没掩盖住之外其他都绿了，vbox的cpuid似乎还是有点问题）
本来打算写个教程的，不过太懒了就无限期延迟

显示全部楼层 · 发表于 2017-6-24 23:22:06

RISING KILL

显示全部楼层 · 发表于 2017-6-24 23:30:43

zhou0197 发表于 2017-6-24 22:52
顺便求反反虚拟机设置…………我这里好像跑不出什么行为，行为信息来自求助对象。

稍等，等会给你附上分析结果，我已经知道他用什么办法反虚拟机的了，而且能正常在虚拟机下运行

显示全部楼层 · 发表于 2017-6-24 23:35:09

B100D1E55 发表于 2017-6-24 23:05
似乎这个样本有检查虚拟机网卡地址……
如果是linux+virtualbox搭配的话个人推荐使用https://github.com ...

不是检测虚拟机网卡

显示全部楼层 · 发表于 2017-6-24 23:36:41

学雷锋做人发表于 2017-6-24 23:35
不是检测虚拟机网卡

可能我写的规则没有覆盖到，等你的结果了

显示全部楼层 · 发表于 2017-6-24 23:48:24

学雷锋做人发表于 2017-6-24 23:30
稍等，等会给你附上分析结果，我已经知道他用什么办法反虚拟机的了，而且能正常在虚拟机下运行

难道是网卡MAC？

显示全部楼层 · 发表于 2017-6-24 23:53:06

SEP杀

显示全部楼层 · 发表于 2017-6-24 23:54:47

zhou0197 发表于 2017-6-24 23:48
难道是网卡MAC？

结果已更新，看7楼

[病毒样本] 疑似MBR敲竹杠全家桶？要你命3000？

本帖子中包含更多资源

本帖子中包含更多资源