你抄我抄大家抄，抄抄更欢乐（完结）

显示全部楼层 · 发表于 2018-6-14 09:07:19

本帖最后由 B100D1E55 于 2018-6-14 09:10 编辑

191196846 发表于 2018-6-14 09:02
这个为什么能算情有可原呢？能详细解释下么

理想情况下判毒是：文件包含加密的毒+释放解密的毒+成功执行毒
我这个样本的情况是：文件包含加密的毒，没有解密代码，释放一个空文件

有时候杀软判别机制会tokenize这些行为，导致“文件包含加密的毒+释放解密的毒+成功执行毒”这个完整的行为链条被打碎成“文件包含加密的毒”“释放文件”“执行释放的文件”等要素，具体执行的是不是毒、释放的是不是毒就不管了，只要满足了这几个token就判毒。这种模糊判毒严格来说是不负责的，但是我这里放宽要求姑且算情有可原吧。当然我这里第二个样本连运行函数都没有……所以UDS还是太敏感了，姑且算其是静态/机器学习检出PE内可疑payload，我就不吹毛求疵了

作为补充材料，下图是卡巴报毒样本的所有行为（由Virustotal的沙盘跑出）

你也看到了……这啥都没干

显示全部楼层 · 发表于 2018-6-14 09:08:55

ELOHIM 发表于 2018-6-14 08:05
好像自始至终都没微软啥事儿，毕竟查杀率太低了。。。

连微软都收集不到的样本还能叫样本

？

显示全部楼层 · 发表于 2018-6-14 09:10:11

B100D1E55 发表于 2018-6-14 08:51
微软不会做这种破事的，你要有信心

这两个刚刚用EES双击扫描都是不杀的…… v8bRL5报了僵尸网络 banker.exe MISS

然后立即用红伞双击，都杀了

banker.bin.exe HIDDENEXT/Crypted
v8brl5.exe TR/AD.Emotet.B(Cloud)

说明红伞还是有点东西的（极力挽回APC的形象

）

显示全部楼层 · 发表于 2018-6-14 09:13:38

191196846 发表于 2018-6-14 09:10
这两个刚刚用EES双击扫描都是不杀的…… v8bRL5报了僵尸网络 banker.exe MISS

然后立即用红伞双击 ...

E家属于保守派。。检测率低一点正常。我刚把EES从虚拟机里抹了做其他实验，这次就不测双击了

显示全部楼层 · 发表于 2018-6-14 09:14:37

petr0vic 发表于 2018-6-14 01:10
https://www.mrg-effitas.com/stop-using-virustotal-to-measure-how-av-sucks/
https://www.theregister. ...

先别把这个结果转到坛外去，等我最后复查清楚再说，免得不小心弄个大新闻

显示全部楼层 · 发表于 2018-6-14 09:15:18

B100D1E55 发表于 2018-6-14 09:07
理想情况下判毒是：文件包含加密的毒+释放解密的毒+成功执行毒
我这个样本的情况是：文件包含加密的毒， ...

有点道理……但仅仅是Token 就报毒确实不怎么靠谱……

静待后面样本的结果

显示全部楼层 · 发表于 2018-6-14 09:47:03

扶了扶我的黑框眼镜。。。。。。
不要总想~~~~~咳咳。

显示全部楼层 · 发表于 2018-6-14 09:57:41

趋势：来自云端的威胁由云端解决

显示全部楼层 · 发表于 2018-6-14 10:20:15

B100D1E55 发表于 2018-6-14 09:13
E家属于保守派。。检测率低一点正常。我刚把EES从虚拟机里抹了做其他实验，这次就不测双击了

ees是哪个软件？

显示全部楼层 · 发表于 2018-6-14 10:25:35

cloud01 发表于 2018-6-14 10:20
ees是哪个软件？

eset企业版

[分享] 你抄我抄大家抄，抄抄更欢乐（完结）

本帖子中包含更多资源

本帖子中包含更多资源