样本

显示全部楼层 · 发表于 2018-8-18 10:11:38

ESET完美被过

显示全部楼层 · 发表于 2018-8-18 10:13:09

ESET 扫描miss

显示全部楼层 · 发表于 2018-8-18 10:32:42

静影沉璧发表于 2018-8-18 10:11
ESET完美被过

又是调用命令行，对火绒来说，这种暴力的凭单步主防就可轻易拦下。。

显示全部楼层 · 发表于 2018-8-18 10:37:38

本帖最后由 www-tekeze 于 2018-8-18 10:45 编辑

厉害的是释放的360.exe，用智量单独扫描报毒，火绒仍然miss。。

@BeatTrojan @火绒工程师

PS：火绒+智量是种明智的选择啊！

显示全部楼层 · 发表于 2018-8-18 10:42:43

dreams521 发表于 2018-8-18 01:17
UDS:Trojan-Ransom.Win32.Disabler.sb

已购勋章。。

显示全部楼层 · 发表于 2018-8-18 10:54:08

www-tekeze 发表于 2018-8-18 10:32
又是调用命令行，对火绒来说，这种暴力的凭单步主防就可轻易拦下。。

你虚拟机里没放图片？看你桌面上有个exe图标被改了，如果又大量图片的话因该同时也被改了。。火绒因该算被过了，拦截这些只是普通的一些恶意行为，并没有拦截到样本的目标行为

显示全部楼层 · 发表于 2018-8-18 11:03:30

vm001 发表于 2018-8-18 10:54
你虚拟机里没放图片？看你桌面上有个exe图标被改了，如果又大量图片的话因该同时也被改了。。火绒因该算 ...

我为了截取所有行为，无论是红色、棕色、绿色弹窗，一律选择允许，哪能不被锁？事实上第一个调用cmd的就阻止或直接结束进程，立马熄火。。

现实当中，当发现不明程序操作时不可能选允许吧？就起码按红、棕、绿默认的来。

显示全部楼层 · 发表于 2018-8-18 11:14:41

www-tekeze 发表于 2018-8-18 11:03
我为了截取所有行为，无论是红色、棕色、绿色弹窗，一律选择允许，哪能不被锁？事实上第一个调用cmd的就 ...

不能这样说，如果说现实，现实中没人会禁用cmd--
另外这个也是自定义规则，开始我也自定义了这个，然而没实际意义就删除了这个规则（慢慢的你会发现这条规则误拦的时候比较多）

显示全部楼层 · 发表于 2018-8-18 11:18:03

本帖最后由 www-tekeze 于 2018-8-18 11:23 编辑

vm001 发表于 2018-8-18 11:14
不能这样说，如果说现实，现实中没人会禁用cmd--
另外这个也是自定义规则，开始我也自定义了这个，然而 ...

各人都有适合自己的规则吧，排除explorer即可，我正常装的软件没发现误拦的，实际上正规软件调用cmd的极少。

PS：我说的现实，指的后续弹窗，那些是火绒内置规则就有的，发现不明程序操作，该阻止就阻止，该结束进程就结束。

显示全部楼层 · 发表于 2018-8-18 12:57:58

www-tekeze 发表于 2018-8-18 10:32
又是调用命令行，对火绒来说，这种暴力的凭单步主防就可轻易拦下。。

为什么我运行没反应？没锁就TEMP生成2个文件夹

[病毒样本] 样本