FangKuai (6.29)

显示全部楼层 · 发表于 2019-7-1 10:34:58

www-tekeze 发表于 2019-6-30 10:55
虽然多步主防没报毒，但单步可以拦截（默认设置），只要阻止篡改exe和添加自启就行了，没啥了不起。。[:0 ...

不过我这个还会篡改其他文件

显示全部楼层 · 发表于 2019-7-1 10:38:35

你好，再见发表于 2019-6-30 12:45
还有bilibili？真是有趣。特别是那两个小时的视频，笑死我了，卡巴和BD被黑得好惨

不是我录制的。。。

显示全部楼层 · 发表于 2019-7-1 11:20:29

skystars 发表于 2019-7-1 10:34
不过我这个还会篡改其他文件

看47楼截图，“常用文件关联项”，虽然显示的只是exe，但实际所有修改都被拦！！
你以为火绒工程师那么傻，只拦个exe就万事大吉了。。

显示全部楼层 · 发表于 2019-7-1 12:32:39

本帖最后由 B100D1E55 于 2019-7-1 13:32 编辑

www-tekeze 发表于 2019-7-1 09:31
ESET，Scan miss、Run miss，全程没反应，重启后和火绒相同，连托盘都挂了！视频附后

B大，给官方反馈 ...

ESET自保不保护托盘或者GUI的，如果能杀ekrn那是另一回事……多谢提供视频，我明天看一下

其实当时这个样本出的时候我就放他们云端检测了，直接扫描引擎就返回黑结果。客户端没杀估计是出于防误报的原因就没自动入库，而人工也不可能分析这个样本，因为广度太低。一般给厂商提jokeware的建议都不怎么可能采纳。这东西一个是非常稀有，另一个是防jokeware动作实在是没完没了，下功夫针对性防御不划算

显示全部楼层 · 发表于 2019-7-1 15:42:20

B100D1E55 发表于 2019-7-1 12:32
ESET自保不保护托盘或者GUI的，如果能杀ekrn那是另一回事……多谢提供视频，我明天看一下

其实当时这 ...

如果说服务和Daemon，火绒的也在，可已经派不上用处了。。。

唉，各家自己的策略吧，反正我在火绒论坛发了个帖，请官方考虑下，如果只是用点jokeware手法就能让一款安软熄火，单奔这样的杀软能安心吗？

尽管火绒还有单步拦截。

显示全部楼层 · 发表于 2019-7-1 16:57:11

温馨小屋发表于 2019-6-30 11:27
杀软无法完美的判定正常行为和恶意行为的边界，所以自动模式必然会漏掉一些毒，你还是没懂，开Comodo手动 ...

其实他需要开卡巴“受信任应用程序模式”来测试卡巴，效果绝对杠杠滴，还自动化

显示全部楼层 · 发表于 2019-7-1 17:01:01

www-tekeze 发表于 2019-7-1 15:42
如果说服务和Daemon，火绒的也在，可已经派不上用处了。。。

唉，各家自己的策略吧，反正我在火绒论坛 ...

之前不是还有个手法，强行重启之后，ekrn进程虽然还在，但是没有加载病毒库，相当于空壳了

显示全部楼层 · 发表于 2019-7-1 18:38:19

www-tekeze 发表于 2019-6-30 11:36
给你上个KFA，截图是重启后的，重启前后都没反应。。对了，问个问题，如果KIS自动模式没反应， ...

试过Ctrl+shift+Alt+F4么？

显示全部楼层 · 发表于 2019-7-1 21:51:15

huang1111 发表于 2019-7-1 18:38
试过Ctrl+shift+Alt+F4么？

没试，这个样本发作后鼠标点任务栏无法启动任务管理器，但通用的ctrl+shift+esc还是能生效。

刚想试试，但PDM已经能杀了，以后有机会再试吧。。。

显示全部楼层 · 发表于 2019-7-1 21:53:15

www-tekeze 发表于 2019-7-1 21:51
没试，这个样本发作后鼠标点任务栏无法启动任务管理器，但通用的ctrl+shift+esc还是能生效。

刚想试试 ...

这个就是屏幕锁报法，你当时如果使用快捷键还是可以杀的

[病毒样本] FangKuai (6.29)

本帖子中包含更多资源

评分

本帖子中包含更多资源

浏览过的版块