PPTV(pplive)_forap_1084_9993.exe + txupd.exe

显示全部楼层 · 发表于 2019-8-12 21:22:53

猥琐大叔发表于 2019-8-12 20:56

360才杀的不然全miss

显示全部楼层 · 发表于 2019-8-13 04:29:28

eset只报了第一个刚入库

显示全部楼层 · 发表于 2019-8-13 06:35:55

本帖最后由 B100D1E55 于 2019-8-13 07:08 编辑

是这个东西：https://www.fortinet.com/blog/th ... rojan-analysis.html
从ESET VirusRadar来看，杀的那个混淆手段貌似4月入库了（也可能后来调了定义），剩下几个的确是恶意样本

ESET Miss的2个只有NGAV检出（AVG，Avast是后来的跟屁虫）：

从报毒名来看估计又是一个内存释放的样本，用几天前的虚拟机跑了一下ESET miss的样本果然两个都是内存杀：

而这个Agent本体去年10月已经被ESET入库

显示全部楼层 · 发表于 2019-8-13 09:41:37

B100D1E55 发表于 2019-8-13 06:35
是这个东西：https://www.fortinet.com/blog/th ... rojan-analysis.html
从ESET VirusRadar来看，杀的那 ...

病毒行为分析有吗，主要我看下怎么来的，莫名奇妙换了电脑还有

显示全部楼层 · 发表于 2019-8-13 09:43:33

本帖最后由驭龙于 2019-8-13 09:59 编辑

B100D1E55 发表于 2019-8-13 06:35
是这个东西：https://www.fortinet.com/blog/th ... rojan-analysis.html
从ESET VirusRadar来看，杀的那 ...

这次WD真的漏了，除了PPTV(pplive)_forap_1084_9993双击杀以外，另外两个样本双击正常运行，实机运行都没有反应，哈

显示全部楼层 · 发表于 2019-8-13 10:46:01

驭龙发表于 2019-8-13 09:43
这次WD真的漏了，除了PPTV(pplive)_forap_1084_9993双击杀以外，另外两个样本双击正常运行，实机运行都没有 ...

E家已入库的毒内存广谱匹配还是不错的，我一直觉得AMS算是历代新功能里面效果最显著的一个
顺带这个样本是延迟执行的，大概运行1分钟后会开始内存内解密，那时候才会被AMS干掉

显示全部楼层 · 发表于 2019-8-13 10:51:45

B100D1E55 发表于 2019-8-13 10:46
E家已入库的毒内存广谱匹配还是不错的，我一直觉得AMS算是历代新功能里面效果最显著的一个
顺带这个样本 ...

我只是运行一下就禁用了，所以不知道WD后续会不会有反应，这两个剩余是同一个SHA256，行为比较多，而且连接美国的服务器

这个确实是比较有趣，不知WD以后会不会杀。

其实ESET的AMS也是不错的功能，实际上不比其它家所谓的主防弱多少

显示全部楼层 · 发表于 2019-8-13 10:53:18

本帖最后由 B100D1E55 于 2019-8-13 11:13 编辑

icerain 发表于 2019-8-13 09:41
病毒行为分析有吗，主要我看下怎么来的，莫名奇妙换了电脑还有

不妨参考这个：https://www.cnblogs.com/linkenpark/p/10373702.html
这个挺有意思，金山的update程序被替换成了pplive同名pua吗。具体怎么感染的不用工具分析复现估计很难知道

显示全部楼层 · 发表于 2019-8-13 12:07:56

B100D1E55 发表于 2019-8-13 10:53
不妨参考这个：https://www.cnblogs.com/linkenpark/p/10373702.html
这个挺有意思，金山的update程序被 ...

好像不是这个之前已结看过几次这篇文章了

显示全部楼层 · 发表于 2019-8-13 12:40:17

icerain 发表于 2019-8-13 12:07
好像不是这个之前已结看过几次这篇文章了

所以说是杀掉后又会生成吗？我主要意思是你可以用里面那个方法看一下源头是什么

[可疑文件] PPTV(pplive)_forap_1084_9993.exe + txupd.exe

本帖子中包含更多资源