样本集奉上_41

显示全部楼层 · 发表于 2018-8-11 23:45:28

Pluto爱卡戎发表于 2018-8-11 23:35
对比一下两个毛豆
CIS 10 48/50 M：11/32 隔离59个文件
CCAV 45/50 M：0/32 隔离 ...

M: 0/32，看来CCAV完全靠云信誉，就是个哈希库吧，跟安天智甲一个样。。

显示全部楼层 · 发表于 2018-8-12 10:24:01

www-tekeze 发表于 2018-8-11 21:51
M的有9个未报，我刚在虚拟机里试了下，有3个双击无法运行，有3个被主防kill，注意看是以BEHAV报出的，是 ...

不是脚本毒吗……？？？

显示全部楼层 · 发表于 2018-8-12 10:37:25

command360 发表于 2018-8-12 10:24
不是脚本毒吗……？？？

用来加壳或改MD5的都是PE文件，exe、dll、sys、com等，用脚本来改就报废了。。

显示全部楼层 · 发表于 2018-8-12 10:41:43

本帖最后由 command360 于 2018-8-12 13:55 编辑

火绒 S 杀掉检出样本后，双击剩余样本。

1号：2红1黄，按默认阻止，一段时间后退出，系统无异常；
14号：最后线程退出，常驻内存；

显示全部楼层 · 发表于 2018-8-12 11:09:47

command360 发表于 2018-8-12 10:41
火绒 S 杀掉检出样本后，双击剩余样本。

1号：2红1黄，按默认阻止，一段时间后退出，系统无异常；

原始样本50枚，其中PE文件32X，都用来做成M的了。。。
剩下的大部分是脚本、Office文档、ZIP、PDF等等，所以改exe无法运行。。

老铁，以后别试了。。。

显示全部楼层 · 发表于 2018-8-12 11:36:18

www-tekeze 发表于 2018-8-12 11:09
原始样本50枚，其中PE文件32X，都用来做成M的了。。。
剩下的大部分是脚本、Office文档、ZIP、PDF等等， ...

只有PE的才做成M吗？

显示全部楼层 · 发表于 2018-8-12 11:40:53

command360 发表于 2018-8-12 11:36
只有PE的才做成M吗？

必须的。。。

显示全部楼层 · 发表于 2018-8-12 13:54:28

www-tekeze 发表于 2018-8-12 11:40
必须的。。。

那S中的样本怎么知道都是什么格式啊……

显示全部楼层 · 发表于 2018-8-12 14:31:27

command360 发表于 2018-8-12 13:54
那S中的样本怎么知道都是什么格式啊……

用这个吧，如果不识别则基本是JS、VBS脚本。

显示全部楼层 · 发表于 2018-8-12 15:18:00

本帖最后由 s22962000 于 2018-8-12 15:19 编辑

Malwarebytes:
22/50+15/32=37/82 =45.12%

[病毒样本] 样本集奉上_41