#PACKAGE 0802

显示全部楼层 · 发表于 2018-8-3 11:44:11

191196846 发表于 2018-8-3 11:19
火绒拉黑的Trojan.Generic.AABBCC 这种改MD5是无效的，你自己也在前几期有对照时测过，怎么说法说变就变 ...

抓个虫
少数漏的也过不了AMS
这句话怎么说呢有一定道理，因为我以前双击你的样本时也有几个AMS干掉的，但是论真的效果恐怕和国外大厂那种主防还是有一定距离的，不过你的样本很好质量很高支持一下

显示全部楼层 · 发表于 2018-8-3 11:44:16

www-tekeze 发表于 2018-8-3 11:41
“火绒拉黑的Trojan.Generic.AABBCC 这种改MD5是无效的，你自己也在前几期有对照时测过，怎么说法说变就 ...

要不然你把前几天的样本改下MD5，然后和未改过的对比下，看看Trojan.Generic.AABBCC这个报法有没有少？

显示全部楼层 · 发表于 2018-8-3 11:48:10

renyifei 发表于 2018-8-3 11:44
抓个虫
少数漏的也过不了AMS
这句话怎么说呢有一定道理，因为我以前双击你的样本时也有几个AMS干掉的， ...

嗯……打太快说的有些绝对，我改下
感谢纠正

显示全部楼层 · 发表于 2018-8-3 11:52:27

这么高端的测试居然没有ESET扫描 24/26 双击2/2
扫描日志
检测引擎的版本: 17820 (20180802)
日期: 2018-8-3-周五时间: 11:45:59
已扫描的磁盘、文件夹和文件: D:\病毒样本\
D:\病毒样本\0802(1).exe - Win32/Injector.DZNN 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(10).exe - Win32/Injector.DZNW 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(11).exe > WINRARSFX > uox.mp4 - Win32/Injector.Autoit.CNO 特洛伊木马 - 通过删除清除 [1]
D:\病毒样本\0802(11).exe > WINRARSFX > oqd=usi - Win32/Injector.Autoit.CZQ 特洛伊木马 - 通过删除清除 [1]
D:\病毒样本\0802(12).exe - Win32/GenKryptik.CHAD 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(13).exe - Win32/Injector.DZNN 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(14).exe - MSIL/Kryptik.PCS 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(15).exe - Win32/GenKryptik.CHAD 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(16).exe - Win32/Filecoder.GandCrab.D 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(17).exe - Win32/Injector.DZOE 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(18).exe - Win32/Injector.DZOE 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(19).exe - MSIL/Kryptik.OZZ 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(2).exe - Win32/Injector.DZJG 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(20).exe - Win32/AutoRun.Spy.Agent.T 蠕虫的变种 - 通过删除清除 [1]
D:\病毒样本\0802(21).exe - MSIL/Kryptik.OZZ 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(22).exe - MSIL/TrojanDownloader.Agent.EKS 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(23).exe > NSIS > Starofbethlehem.dat 损坏
D:\病毒样本\0802(24).exe - Win32/Injector.DZNS 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(25).exe - Win32/Injector.DYWV 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(3).exe - MSIL/Injector.TVD 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(4).exe - Win32/Injector.DZOJ 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(5).exe - Win32/Injector.DZOE 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(7).exe - Win32/CoinMiner.BPE 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(8).exe - Win32/Injector.DZOJ 特洛伊木马的变种 - 通过删除清除 [1]
D:\病毒样本\0802(9).exe - Win32/Emotet.BQ 特洛伊木马 - 通过删除清除 [1]
已扫描的对象数: 76
发现的威胁数: 24
已清除对象数: 24
完成时间: 11:46:21 总扫描时间: 22 秒 (00:00:22)
备注:
[1] 由于对象中仅包含病毒主体，因此已被删除。

双击交互模式杀 AMS无反应

文件声誉

正常人到此都应该不会再用吧

显示全部楼层 · 发表于 2018-8-3 11:52:34

renyifei 发表于 2018-8-3 11:44
抓个虫
少数漏的也过不了AMS
这句话怎么说呢有一定道理，因为我以前双击你的样本时也有几个AMS干掉的， ...

AMS特异性很强，与那些行为打分的主防对比，误报低得多

但对于完全未知的pattern，则是无力，所以ESET现在在加强云端，提高响应速度

显示全部楼层 · 发表于 2018-8-3 11:53:52

renyifei 发表于 2018-8-3 11:52
这么高端的测试居然没有ESET扫描 24/26 双击2/2
扫描日志
检测引擎的版本: 17820 (20180802)

有人测，在28楼

显示全部楼层 · 发表于 2018-8-3 11:54:40

191196846 发表于 2018-8-3 11:52
AMS特异性很强，与那些行为打分的主防对比，误报低得多

但对于完全未知的pattern，则是无力，所以ESET ...

没办法，对于未知病毒最好的方法就是云，像ESET这种本地+启发对付变种和混淆更擅长

显示全部楼层 · 发表于 2018-8-3 11:59:31

191196846 发表于 2018-8-3 11:53
有人测，在28楼

，，说一下28楼的测试
首先从病毒库看出这是一个预发布更新，对于正常用户是不建议的，可能会增加误报
而且有1个样本ESET报了其中两个部分，实际上扫描结果就是24个
吓得我还以为ESET解除误报了

显示全部楼层 · 发表于 2018-8-3 12:00:11

renyifei 发表于 2018-8-3 11:52
这么高端的测试居然没有ESET扫描 24/26 双击2/2
扫描日志
检测引擎的版本: 17820 (20180802)

等等，你试下把交互模式关掉

将未报的样本跑2分钟试试看，因为可能还没跑开就被交互模式拦截了

显示全部楼层 · 发表于 2018-8-3 12:05:03

本帖最后由 renyifei 于 2018-8-3 12:07 编辑

191196846 发表于 2018-8-3 12:00
等等，你试下把交互模式关掉

将未报的样本跑2分钟试试看，因为可能还没跑开就被交互模式拦截了

编辑

[病毒样本] #PACKAGE 0802

本帖子中包含更多资源

评分