实锤卡巴VHO为云杀

显示全部楼层 · 发表于 2019-8-21 22:15:02

我以前一直不知道VHO啥意思，越看越奇怪，今天终于发现问题了

样本
https://bbs.kafan.cn/thread-2157910-1-1.html

这个样本被UDS拉黑了，一般来说改MD5可以过UDS，改了之后就VHO杀了，报的名字和UDS名字格式类似，尾缀是gen而不是具体名字，拉到断网的虚拟机里VHO就没了。

然后无论再怎么改MD5都是VHO杀，只能加壳规避，看样子VHO不是拉黑MD5而是拉黑特征，可能考虑服务器压力问题VHO也不会脱壳，加UPX就miss

捕获0.PNG

显示全部楼层 · 发表于 2019-8-21 22:33:06

hello

我想问一下，断网虚拟机扫描修改MD5的文件以后，恢复虚拟机网络，这个文件会不会被VHO识别？在断网前，是否保证数据库已经更新到最新？
VHO是机器学习的报法，它的下发我不清楚，有可能和智量一样的方法也说不准

显示全部楼层 · 发表于 2019-8-21 22:59:55

huang1111 发表于 2019-8-21 22:33
hello

我想问一下，断网虚拟机扫描修改MD5的文件以后，恢复虚拟机网络，这个文件会不会被VHO识别？在断 ...

我刚测试了，实机卡巴，最新毒库，断网前能杀，断网了就miss了，恢复网络之后就VHO杀了，是在不觉得VHO是机器学习杀

显示全部楼层 · 发表于 2019-8-21 23:08:09

温馨小屋发表于 2019-8-21 22:59
我刚测试了，实机卡巴，最新毒库，断网前能杀，断网了就miss了，恢复网络之后就VHO杀了，是在不觉得VHO是 ...

hello

这点你可以联系卡巴斯基技术支持或者查看卡巴斯基白皮书获得答案，VHO我记得很清楚

huang1111 · 发表于 2019-8-21 23:09:49

温馨小屋发表于 2019-8-21 22:59
我刚测试了，实机卡巴，最新毒库，断网前能杀，断网了就miss了，恢复网络之后就VHO杀了，是在不觉得VHO是 ...

hello

你可以咨询技术支持或者查看卡巴斯基白皮书，你会找到答案

显示全部楼层 · 发表于 2019-8-21 23:10:11

这个帖子的回复为什么需要审核了？

显示全部楼层 · 发表于 2019-8-21 23:10:56

hello

你可以询问技术支持

显示全部楼层 · 发表于 2019-8-22 01:11:19

又是个大消息。。
话说楼主用过的杀软俺都不敢实机用

显示全部楼层 · 发表于 2019-8-22 01:11:35

严重观望中

显示全部楼层 · 发表于 2019-8-22 08:33:24

huang1111 发表于 2019-8-21 23:08
hello

这点你可以联系卡巴斯基技术支持或者查看卡巴斯基白皮书获得答案，VHO我记得很清楚

要是你非说它是机器学习杀，那可能是和QVM一样的机制，断网就废

[交流探讨] 实锤卡巴VHO为云杀

评分