Detection ratio: 9 / 62 貌似突破AG禁飞区防御 卡巴云测试时无反应

墨家小子

https://mega.nz/#!hPpC1BYS!mYqtu ... cacae-v_l4avxPrfiRU

@Tomin2009 帮我上报AG官方吧 win10 X64 设置跟上次突破AG一样

就看到样本进程启动了rundll32（CPU占用60%多，貌似rundll32被注入了）和卡巴C:\Program Files (x86)\Kaspersky Lab\Kaspersky Anti-Ransomware Tool for Business\anti_ransom.exe（CPU占用20%多）这两个进程占满CPU了……估计在比拼内力

AVware	LooksLike.Win32.Crowti.b (v)	20170717
Cylance	Unsafe	20170717
Endgame	malicious (moderate confidence)	20170713
Invincea	heuristic	20170607
Qihoo-360	HEUR/QVM07.1.8AF3.Malware.Gen	20170717
Rising	Malware.Obscure!1.9C59 (classic)	20170717
SentinelOne (Static ML)	static engine - malicious	20170516
Symantec	ML.Attribute.HighConfidence	20170717
VIPRE	LooksLike.Win32.Crowti.b (v)	20170717

https://www.virustotal.com/en/fi ... nalysis/1500292237/

墨家小子

greenfinger168 发表于 2017-7-17 20:22
请教楼主给的链接要怎么下载？是不是需要FQ呢？

谢谢！

试试这个 https://www.upload.ee/files/7237 ... 0576305401.exe.html

墨家小子

刚才查了一下，卡巴云终于拦截了https://www.virustotal.com/en/file/51b1586d562bcb46b00aff659e30f1d1a6bf25a29705ff1c89649b1b89affa4a/analysis/1500337823/

SHA256:	51b1586d562bcb46b00aff659e30f1d1a6bf25a29705ff1c89649b1b89affa4a
File name:	faktura_nr_0073540584027482085619080576305401.exe
Detection ratio:	28 / 63
Analysis date:	2017-07-18 00:30:23 UTC ( 0 minutes ago )

单独测试AppGuard，拦截到这样一个行为（之后再没有别的异常行为，貌似AG昨天跟Kaspersky Anti-Ransomware Tool for Business 2.0.0.176冲突了）：
07/18/17 08:27:24 Prevented <Application MFC ChartDemo> from writing to memory of <Shell Infrastructure Host>.

Dolby123

墨家小子

Dolby123 发表于 2017-7-17 20:12

一招吃遍天下

Dolby123

墨家小子 发表于 2017-7-17 20:18
一招吃遍天下

吃腻了，怎么办。。。求突破EMSI防御

墨家小子

Dolby123 发表于 2017-7-17 20:20
吃腻了，怎么办。。。求突破EMSI防御

EMSI跟ESET的hips拦截修改内存不会是一样的吧，我测试样本也算多了，就没看到过能突破这两个的

greenfinger168

请教楼主给的链接要怎么下载？是不是需要FQ呢？

谢谢！

引领五基生活

greenfinger168 发表于 2017-7-17 20:22
请教楼主给的链接要怎么下载？是不是需要FQ呢？

谢谢！

http://m.xiazaiba.com/html/44540.html
自行查毒

ziyerain2015

2345果然第一差！

墨家小子

到现在卡巴云还没反应过来 会不会中暑了ESET都报了
https://www.virustotal.com/en/fi ... nalysis/1500297465/