双击有惊喜

www-tekeze

a445441 发表于 2018-5-22 17:24
微点和火绒你确定兼容，你看看火绒是不是有些防御功能会被关闭

唉，用火绒这么长时间了，功能被关闭托盘就灰了，明确说，我的火绒还是系统加固全开！ 并且加得有些规则，确实没发现冲突啥的，但我现在不玩游戏了，所以环境很复杂的话，那我就不清楚了。。

ATP_synthase

霄栋 发表于 2018-5-22 17:08
win10 1803，双硬盘（固态+机械）kis2019（A）应用程序控制提示底层磁盘访问，选择block，蓝屏，自动重启。

你没开可被犯罪分子利用的合法程序检测吗，我这里主防拦截

x291502676

，就一个. 发表于 2018-5-22 16:09
不好意思啊，当初实机双击了就没图了，双击瞬间蓝屏，在也进不了系统了，分区表都破坏完了，PE重装系统还 ...

你确定卡巴SW能拦截?  这类病毒  只要卡巴没启发杀，那SW几乎不拦截

ATP_synthase

x291502676 发表于 2018-5-22 17:59
你确定卡巴SW能拦截?  这类病毒  只要卡巴没启发杀，那SW几乎不拦截

看楼上

，就一个.

x291502676 发表于 2018-5-22 17:59
你确定卡巴SW能拦截?  这类病毒  只要卡巴没启发杀，那SW几乎不拦截

我用了卡巴试过啊 需要确定?

wusiyuanjh 发表于 2018-5-22 17:57
你没开可被犯罪分子利用的合法程序检测吗，我这里主防拦截

当然开了。我这里只有应用程序控制弹了一次窗，然后就直接蓝屏了。不过我是GPT+UEFI，不清楚是否影响了样本行为，重启后并没造成破坏虚拟机测试，MBR卡巴防护成功，报法和你的一样。

x291502676

，就一个. 发表于 2018-5-22 18:12
我用了卡巴试过啊 需要确定?

那有可能我是gpt每次卡巴都GG

心醉咖啡

毒霸

1. 扫描时间：[2018-05-22 18:55:24]
   
2. 扫描用时：[00:00:04]
   
3. 扫描类型：自定义查杀
   
4. 扫描文件总数：2
   
5. 扫描速度：1文件/秒
   
6. 发现威胁：1个
   
7. 清除威胁：1个
   
8. =============================================
   
9. [2018-05-22 18:55:33]
   
10. 威胁：f:\浏览器下载\双击有惊喜\双击有惊喜2.exe
    
11. 类型：win32.troj.generic_a.a.(kcloud)
    
12. 处理方式：删除
    
13. 
    

复制代码

www-tekeze

首先测火绒：
1. 从托盘退出微点，然后用火绒剑结束微点进程树。
2. 两个样本都会做入沙检测，在SBie里自杀，而后沙盘自动倒沙退出。
3. 实机双击，第一个样本有写MBR动作，火绒拦截后点阻止或结束进程都能完美防御，点允许则蓝屏。
4. 第二个样本没有触发MBR，直接蓝屏。
5. 因装得有影子，重启后恢复如初，但没影子的话偶不清楚！

www-tekeze

接着上微点：
1. 先启动火绒剑，然后托盘退出火绒，再用火绒剑结束火绒的Daemon 。
2. 双击两个样本情况完全相同，均是蓝屏。