很诡异的文件！

显示全部楼层 · 发表于 2018-7-23 00:14:17

wusiyuanjh 发表于 2018-7-23 00:08
感觉还可以啊，他也是根据事实检测的啊，文件本身的确执行了这些操作，但是反虚拟机就认为恶意有点过，还 ...

谢谢意见！

显示全部楼层 · 发表于 2018-7-23 00:27:50

B100D1E55 发表于 2018-7-23 00:08
沙箱这种恶意特征匹配都很无脑的，连机器学习都算不上。很多软件都有所谓“高危行为”，比如楼上提到的ccle ...

https://s.threatbook.cn/report/f ... p1_enx64_office2013
该软件，官方原版英文版的微步行为检测！并没有反虚拟机！
@wusiyuanjh

显示全部楼层 · 发表于 2018-7-23 01:06:19

本帖最后由 B100D1E55 于 2018-7-23 02:26 编辑

mmppp9898 发表于 2018-7-23 00:27
https://s.threatbook.cn/report/file/79d1a478b37597c77b17fa68634be367a094ab44d4da88fd674adec1e47530 ...

我现在网络不好没认真看。不过从你给的两份报告来看中文版的那个是绿色程序，而英文版的那个是安装包吧？不是同一个东西，截图都不一样

Update:

ok刚才看了一下，基本是这么个情况

lz提供的汉化版基于2.1 build1000汉化，这个已经是2007年的老版本了，那时候batterymon还是收费的，因此加了Armadillo的保护壳（保护壳反虚拟机、调试之类的很常见）。而之后batterymon就转成免费了（比如把现在build1010的exe扔去yar匹配就没有A壳）。

为了验证英文原版（有passmark的有效数字签名）也是如此，我特地找了原版的build1000放在我的自动沙盘跑了一下：

也有反调试、反虚拟机等一系列“可疑”行为

英文原版 build 1000下载地址：https://www.pcworld.pl/ftp/pc_14247/BatteryMon-2-1-Build-1000.html

显示全部楼层 · 发表于 2018-7-23 02:30:11

B100D1E55 发表于 2018-7-23 01:06
我现在网络不好没认真看。不过从你给的两份报告来看中文版的那个是绿色程序，而英文版的那个是安装包吧？ ...

辛苦，多谢热心，早睡，晚安！看你们的意见多数倾向安全……

显示全部楼层 · 发表于 2018-7-23 08:23:49

mmppp9898 发表于 2018-7-23 00:27
https://s.threatbook.cn/report/file/79d1a478b37597c77b17fa68634be367a094ab44d4da88fd674adec1e47530 ...

你往后看看，真的没有检测虚拟机吗。。。

显示全部楼层 · 发表于 2018-7-23 10:03:40

最近老有邮箱发过来EXCEL的的文件，还有密码，打开后什么都没有，是啥情况

显示全部楼层 · 发表于 2018-7-23 10:20:14

mingtadie 发表于 2018-7-23 10:03
最近老有邮箱发过来EXCEL的的文件，还有密码，打开后什么都没有，是啥情况

可以发到样本区看看

显示全部楼层 · 发表于 2018-7-23 11:36:58

mingtadie 发表于 2018-7-23 10:03
最近老有邮箱发过来EXCEL的的文件，还有密码，打开后什么都没有，是啥情况

有密码的？？你能打开？

显示全部楼层 · 发表于 2018-7-23 13:15:06

KIS 2019

显示全部楼层 · 发表于 2018-7-23 13:34:03

尽管我们在力证这个文件是安全的，VT上报毒的厂商却增加了，现在comodo也加入了报毒行列。我想起来前几天一位大大做的测试，说有些厂商会把上传到VT的样本无脑拉黑。。。。。。

[可疑文件] 很诡异的文件！

本帖子中包含更多资源

评分

本帖子中包含更多资源