沙箱针对性逃逸对策

显示全部楼层 · 发表于 2018-6-13 12:13:44

wangkaka 发表于 2018-6-13 12:11
我相信大佬你编写的那些运用eset报毒api但本身无毒的文件，在eset报毒后，vt厂商会依次跟进的。。。。

对哦，你尊素聪明，我赶快去试试看

显示全部楼层 · 发表于 2018-6-13 12:16:15

有趣，至少卡巴在这个样本上，并没有“抄”其他厂商的结果。
楼主真是辛苦了。。。。

另外我借贴问下，eset的hips某没有禁止程序写MBR（底层磁盘访问）的选项，刚才有人说没有，我手上也没用eset，问下你们喽？

显示全部楼层 · 发表于 2018-6-13 12:19:40

pal家族发表于 2018-6-13 12:16
有趣，至少卡巴在这个样本上，并没有“抄”其他厂商的结果。
楼主真是辛苦了。。。。

有direct access to disk监控

显示全部楼层 · 发表于 2018-6-13 12:24:17

B100D1E55 发表于 2018-6-13 12:13
对哦，你尊素聪明，我赶快去试试看

这个也很好玩

揪出FAKE_AV 就靠你了

显示全部楼层 · 发表于 2018-6-13 12:28:04

191196846 发表于 2018-6-13 12:24
这个也很好玩

揪出FAKE_AV 就靠你了

我刚才传了VT，先去睡一觉，明天早上收割结果

好兴奋

显示全部楼层 · 发表于 2018-6-13 12:29:40

本帖最后由 pal家族于 2018-6-13 12:34 编辑

B100D1E55 发表于 2018-6-13 12:19
有direct access to disk监控

恩恩。感谢

显示全部楼层 · 发表于 2018-6-13 12:30:38

B100D1E55 发表于 2018-6-13 12:28
我刚才传了VT，先去睡一觉，明天早上收割结果

好兴奋

bj时间晚上等你归来

显示全部楼层 · 发表于 2018-6-13 12:30:40

B100D1E55 发表于 2018-6-13 12:28
我刚才传了VT，先去睡一觉，明天早上收割结果

好兴奋

期待哪些厂商比较“敏感”

显示全部楼层 · 发表于 2018-6-13 12:30:46

俺们只有膜拜的份了……

如果行为特征（本地的）能够精确到一旦免杀成功就失去恶意软件本身的效果的地步，那简直可以说是本地特征的巅峰了吧，eset还是很牛逼的。但是如你这种通过反复本地检测来试探行为特征阈值的行为，本质上和暴力入库的老时代入库和变种互相赛跑是一样的，墙的攻破和补漏各有胜负，但永远胶着。为了解决入库和变种的赛跑，启发应运而生，那到了如今连行为特征的混淆都已经像当年静态特征的混淆一样花样百出的时候，会不会有一种“对行为的启发”呢？这种启发是不是也需要像APC一样被放到云端保护起来呢？脑洞有点大了。

显示全部楼层 · 发表于 2018-6-13 12:35:06

驭龙发表于 2018-6-13 12:08
是啊，上次官方就说11.2工程不小，说不定在搞本地ML的模块，也不是没可能，毕竟本地有ML模块才能把更多的 ...

龙大，你能用eset个人版截个图吗？109L的。

[讨论] 沙箱针对性逃逸对策

本帖子中包含更多资源