囧，最新那个PACKAGE0813，7号样本的衍生物

显示全部楼层 · 发表于 2018-8-13 23:20:20

本帖最后由 www-tekeze 于 2018-8-13 23:24 编辑

www-tekeze 发表于 2018-8-13 22:53
会释放一个VBS脚本在开始菜单启动项里 (Start Menu\Startup) ，然后自删除，火绒单独扫描这个llk.vbs不报， ...

之前在沙盘里测试，火绒拦截行为不完全，换虚拟机测试，这个kmj.exe会在启动项里生成llk.vbs，同时有联网请求，另外还将自身隐藏到用户目录的Roaming下。。。重启后自动执行llk.vbs，但用火绒快速扫描未发现异常，智量快速扫描仍只报这个隐藏的kmj.exe，其它无发现。

显示全部楼层 · 发表于 2018-8-13 23:59:51

23号红伞已经鉴定报毒了

显示全部楼层 · 发表于 2018-8-14 00:08:18

WHALE-FALL 发表于 2018-8-13 23:59
23号红伞已经鉴定报毒了

你看我那些截图，这种鬼鬼祟祟的行为真应该报毒。。。火绒讲究的是行为鉴定，但也太宽容了。。

显示全部楼层 · 发表于 2018-8-14 00:15:33

www-tekeze 发表于 2018-8-14 00:08
你看我那些截图，这种鬼鬼祟祟的行为真应该报毒。。。火绒讲究的是行为鉴定，但也太宽容了。。

这时就要自定义规则出马了
这可能也是火绒无奈之举
既要考虑国内环境，又要提升安全
只能暂时这样了

显示全部楼层 · 发表于 2018-8-14 07:51:03

微点运行杀和衍生物

显示全部楼层 · 发表于 2018-8-14 08:13:43

我来凑个热闹，早8点15分，依然没有入库。

显示全部楼层 · 发表于 2018-8-14 08:48:13

显示全部楼层 · 发表于 2018-8-14 11:35:06

www-tekeze 发表于 2018-8-13 23:20
之前在沙盘里测试，火绒拦截行为不完全，换虚拟机测试，这个kmj.exe会在启动项里生成llk.vbs，同时有联网 ...

囧，你居然在用沙盘测火绒？我怎么记得很久以前火绒会将沙盘里运行的样本还原到真实路径造成穿沙，不知道现在改进了没，反正之前测火绒都只敢在虚拟机里测的，囧，你最好留意下火绒的拦截路径是否真的在沙盘内囧囧囧

显示全部楼层 · 发表于 2018-8-14 11:58:27

√×√×√√× 发表于 2018-8-14 11:35
囧，你居然在用沙盘测火绒？我怎么记得很久以前火绒会将沙盘里运行的样本还原到真实路径造成穿沙，不知 ...

我用火绒也才一年零三个月，你说的以前还真不知道，火绒论坛也没见反馈。数字的沙箱源于SBie，所以有明显冲突，但火绒是自研的虚拟沙盒，按理明显冲突不会有，但隐性的还真说不清。。。这次我也预感到不对，所以才开了虚拟机，以前行为会有点不一样，但主要动作是相同的，这次还真出问题了。
对不加驱的小程序我喜欢用沙盘，方便啊，而且现在反虚机的似乎比反沙盘的还多，受限啊。。

显示全部楼层 · 发表于 2018-8-14 12:01:32

本帖最后由 √×√×√√× 于 2018-8-14 12:02 编辑

www-tekeze 发表于 2018-8-14 11:58
我用火绒也才一年零三个月，你说的以前还真不知道，火绒论坛也没见反馈。数字的沙箱源于SBie，所以有明显 ...

囧，火绒和数字的沙箱冲突吗？我记得不冲突吧，数字的沙箱也不是基于SBie，应该是自己写得。倒是SBie火绒很久之前与其冲突了很长一段时间啊，会导致SBie无法运行，两边的官人互相踢皮球给对方，后来不知什么时候才解决的，但反而又存在了漏沙的问题，反正火绒好像和沙盘一直都不太搭囧囧囧

[病毒样本] 囧，最新那个PACKAGE0813，7号样本的衍生物

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源