Anyrun 3.11

显示全部楼层 · 发表于 2020-3-11 11:04:19

QVM360 发表于 2020-3-11 10:43
火绒miss all待会双击@QVM360

应该有两个都会调用RegAsm.exe，我闭着眼睛都知道反攻击规则能拦住

显示全部楼层 · 发表于 2020-3-11 11:12:46

本帖最后由 QVM360 于 2020-3-11 11:18 编辑

www-tekeze 发表于 2020-3-11 10:54
火绒Miss All，双击让给5楼玩。。

双击#1，等了好久才开始发作。。
首先会释放一个衍生物到%appdata%\System32，名为csrss.exe.exe

然后会将衍生物添加到自启动项，被自定义防护和系统加固同时拦截

显示全部楼层 · 发表于 2020-3-11 11:13:31

LSPD 发表于 2020-3-11 11:03
我这里还没反应

可能是UDS的缓存问题？

11.03.2020 10.52.49;检测到的对象 ( 文件 ) 已删除;C:\Users\\Desktop\Anyrun（3.11）\2.exe;C:\Users\\Desktop\Anyrun（3.11）\2.exe;UDS:Trojan.MSIL.Crypt.gen;木马程序;03/11/2020 10:52:49

显示全部楼层 · 发表于 2020-3-11 11:21:15

swizzer 发表于 2020-3-11 11:04
应该有两个都会调用RegAsm.exe，我闭着眼睛都知道反攻击规则能拦住

双击#2，会调用regasm.exe，然后报错。。

显示全部楼层 · 发表于 2020-3-11 11:24:36

WD KILL 1 剩下1和2
不知道为什么只杀了一个但是报了两次...

显示全部楼层 · 发表于 2020-3-11 11:28:28

QVM360 发表于 2020-3-10 21:21
双击#2，会调用regasm.exe，然后报错。。

你试下最新的4.22规则组能不能识别读取浏览器数据的操作

新版触发的规则应该是
[结束]木马行为防护.D.01

显示全部楼层 · 发表于 2020-3-11 11:28:29

swizzer 发表于 2020-3-11 11:04
应该有两个都会调用RegAsm.exe，我闭着眼睛都知道反攻击规则能拦住

双击#3，会调用RegAsm.exe和RegSvcs.exe添加启动项，重启不试了

显示全部楼层 · 发表于 2020-3-11 11:28:56

Jerry.Lin 发表于 2020-3-11 11:28
你试下最新的4.22规则组能不能识别读取浏览器数据的操作（按照道理是可以的）

新版触发的规则应该是
...

感谢分享规则，待会试试看

显示全部楼层 · 发表于 2020-3-11 11:54:44

BD kill 2x

显示全部楼层 · 发表于 2020-3-11 12:42:52

安天智甲 Kill 2x

[病毒样本] Anyrun 3.11

本帖子中包含更多资源

评分

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块