Trojan.VBS.Bolbi.V2

3245076553

歌德塔大蜘蛛 发表于 2018-9-22 08:23
失效了，分享资源已经删除

链接已恢复

3245076553

晚风ono 发表于 2018-9-22 11:50
连接GG了

链接已恢复

√×√×√√×

cect258 发表于 2018-9-21 22:24
160版的微点 拦截效果怎么样？有明显提升没有？

囧，没有提升，win8下微点160对此样本毫无反应，但win7下不一定，微点目前在win7下的表现要远远好于win8/win10，目前160版对win7下能够报的样本win8/win10下却毫无反应的问题依旧没有解决 囧囧

doga

K7 kill

√×√×√√×

www-tekeze 发表于 2018-9-21 23:44
动作也太多了。。

囧，动作多也是你用了自定义规则啊，第二张图就是类似斩首规则的那个弹窗了，直接阻止就没有后续了，但事实上默认配置下火绒只能拦一个添加启动项，而在拦启动项那里不选择结束进程而是阻止的话，就GG了，后续行为没有任何反应直至系统被加密 囧囧

c/mm

病毒探索者

Norton 扫描miss
实机影子模式下运行不了。。。

扫描统计信息:
  扫描开始:
   本地: 2018/9/22 星期六 13:42
   UTC: 2018/9/22 星期六 5:42
  扫描时间: 0 秒
  扫描目标: C:\Users\Administrator\Desktop\Trojan.VBS.Bolbi.v2.vbs.exe
  计数:
   扫描的项目总数: 1
   - 文件和目录: 1
   - 注册表条目: 0
   - 进程和启动项目: 0
   - 网络和浏览器项目: 0
   - 其他: 0
   - 受信任文件: 0
   - 跳过的文件: 1

   检测到的安全风险总数: 0
   已解决的项目总数: 0
   需要注意的项目总数: 0

已解决的威胁:
未解决任何风险

未解决的威胁:
没有未解决的风险

www-tekeze

√×√×√√× 发表于 2018-9-22 13:10
囧，动作多也是你用了自定义规则啊，第二张图就是类似斩首规则的那个弹窗了，直接阻止就没有后续了，但事 ...

是自定义规则，我自个加的，只是拦截cmd和powershell的，你说的那些斩首规则、精钢盾规则，我早就不玩了。。。火绒提供了HIPS平台，如何发挥得看个人，很正常啊，而我上这些图，只是给坛友们看下行为而已，我可没说默认的火绒也能查杀啊，13楼我不早说了“火绒miss”？

仔细看，两个红色高危动作都是默认就能拦截 (包括两个绿色的)，但如果用户放行我也就没话说了，当然，存在拦截点靠后的问题，系统还是可能受损。。

病毒探索者

STCn1000 发表于 2018-9-22 09:49
Symantec已入库

为什么我的Norton（最新版） miss呢？

√×√×√√×

www-tekeze 发表于 2018-9-22 13:45
是自定义规则，我自个加的，只是拦截cmd和powershell的，你说的那些斩首规则、精钢盾规则，我早就不玩了 ...

囧，你最初那个启动项的拦截是放过了？ 我这没放过点阻止是没有后面两个红色高危动作的拦截弹窗和绿色弹窗的，然后系统就被加密了，只有最初两个拦截启动项的橙色弹窗而已，而且如果那里不点结束进程的话，也是根本拦不住的 囧囧