從我電腦找到的疑似病毒,假Mozilla Firefox

显示全部楼层 · 发表于 2018-8-16 09:50:15

本帖最后由 BE_HC 于 2018-8-16 09:51 编辑

www-tekeze 发表于 2018-8-16 09:45
用的最普通UPX压缩壳，不过据说UPX稳定性是最好的。。。Exeinfo PE怎么样？我用的PEiD 。

Exeinfo PE可以暴力提取未加壳文件里面的东西，查壳准确不错，感觉UPX现在基本上都不怎么报了

显示全部楼层 · 发表于 2018-8-16 09:51:59

a7878330 发表于 2018-8-16 09:46
我剛剛實測Exeinfo PE
不錯用

好的，我也找个试试。。

显示全部楼层 · 发表于 2018-8-16 09:52:33

www-tekeze 发表于 2018-8-16 09:49
行为象U盘病毒，因为每个盘根目录下会生成autorun.ini，但这个样本没释放其它病毒文件，也不会联网，可能 ...

摁摁
這種得容易變種嗎?

显示全部楼层 · 发表于 2018-8-16 09:56:20

BE_HC 发表于 2018-8-16 09:50
Exeinfo PE可以暴力提取未加壳文件里面的东西，查壳准确不错，感觉UPX现在基本上都不怎么报了

好的，我找个试试。。。UPX不易引起误报，我发那些样本包也只敢用它，否则可能很多会报Packed。

显示全部楼层 · 发表于 2018-8-16 10:02:36

a7878330 发表于 2018-8-16 09:52
摁摁
這種得容易變種嗎?

变种的话得自身技术含量高的，这个的动作比较大容易被杀软截获，用它来做变种可能性不太大吧。

显示全部楼层 · 发表于 2018-8-16 10:03:52

www-tekeze 发表于 2018-8-16 10:02
变种的话得自身技术含量高的，这个的动作比较大容易被杀软截获，用它来做变种可能性不太大吧。

摁摁
感謝各位幫我分析
辛苦大大了

显示全部楼层 · 发表于 2018-8-16 10:12:55

温馨小屋发表于 2018-8-15 23:46
没有异常，只有autorun.inf文件，没有对应的病毒文件

确实没有衍生物也不会联网，但暗中修改注册表扩展项添加自启肯定不是好鸟，也许残缺了或者楼主上传样本不全。

显示全部楼层 · 发表于 2018-8-16 12:54:43

桑德尔发表于 2018-8-16 09:40
统一回复一下@a7878330 @BE_HC ：
前几天我重新开始体验诺顿，安装完成后去架梯子，打开文件夹之后 ...

诺顿的云如果不稳定的话可能导致杀法改变，以前还经常出现同一个样本两个用诺顿的人一个杀一个不杀的情况

显示全部楼层 · 发表于 2018-8-16 20:25:53

显示全部楼层 · 发表于 2018-8-20 22:04:18

本帖最后由温馨小屋于 2018-8-20 22:06 编辑

桑德尔发表于 2018-8-16 09:42
误报确实非常高，但是这种一会儿启发杀一会儿入库杀我就看不明白了

这几天点了好多样本，我发现对于新文件诺顿会先运行AdvML，然后再查病毒库或云，所以就会出先报启发再变报法的情况了，一般先报出来的都是机器学习报法

就像这个，诺顿实际上已经入库了的，但是解压之后还是会先报AdvML，之后再报病毒库报法，如果库里有的话历史记录里就会出现两条记录，不同的报法。然后所有机器学习杀都会被默认提交诺顿社区

我觉得这个做法似乎是解决云库高延迟的好方法，单靠AdvML就能独当一面

[可疑文件] 從我電腦找到的疑似病毒,假Mozilla Firefox

评分

本帖子中包含更多资源

本帖子中包含更多资源

评分

浏览过的版块