【开放测试】卡饭病毒样本包 20200721 第89期

显示全部楼层 · 发表于 2020-7-21 20:16:57

测试环境：win10
测试产品：mcafee MES
病毒库版本：20200720
测试项目：扫描
测试配置：非常高
结果：扫描（200/ 250）=80%

显示全部楼层 · 发表于 2020-7-21 20:22:18

QVM360 发表于 2020-7-21 14:31
测试环境：win7
测试产品：智量终端安全2.66@智量官方
病毒库版本：最新

那个EXE是agenttesla, 但是文件结构被破坏，直接退出了.

剩余的DLL全是载入器, 属于IcedID病毒家族. 会载入同目录下的图片文件，解密后载入内存运行，智量的内存防护是会检测到的。如果没有图片文件，只用regsvr32.exe执行dll文件是不会有动作的.

显示全部楼层 · 发表于 2020-7-21 20:25:52

本帖最后由 QVM360 于 2020-7-21 20:27 编辑

智量官方发表于 2020-7-21 20:22
那个EXE是agenttesla, 但是文件结构被破坏，直接退出了.

剩余的DLL全是载入器, 属于IcedID病毒家族. ...

好的，待会试试！
是不是要让这些dll和图片文件在同一个目录，然后直接用regsvr32.exe执行？

显示全部楼层 · 发表于 2020-7-21 20:51:18

QVM360 发表于 2020-7-21 20:25
好的，待会试试！
是不是要让这些dll和图片文件在同一个目录，然后直接用regsvr32.exe执行？

图片文件有时会和dll下载到一个目录下，有时在临时目录里。这个dll文件只是感染链的一部分，单独运行是不会有结果的。

这个感染开始是用office文件，然后下载dll文件, dll文件会再下载exe和图片文件。解密图片文件运行. 本身这个下载服务器是探测客户端ip的。如果不是某些国家的IP，直接返回404. 我们测试了日本和美国IP是会下载的，但是中国IP是不会下载到此dll文件的.

显示全部楼层 · 发表于 2020-7-21 23:05:17

测试环境：Win10 LTSC 2019 Hyper-V
测试产品：fsp 17.9 beta1
病毒库版本：最新
测试项目：扫描+执行
测试配置：标准
结果：扫描（239/239）+执行（1/1）=总计（240/250）=96%
截图（剩余样本）：

显示全部楼层 · 发表于 2020-7-21 23:09:28

本帖最后由 qwe12301 于 2020-7-21 23:10 编辑

QVM360 发表于 2020-7-21 14:42
测试环境：win7
测试产品：火绒安全软件
病毒库版本：最新

什么叫“连”？毒霸本地引擎在加强了，而且还在持续加强。不允许毒霸进步吗？

显示全部楼层 · 发表于 2020-7-21 23:53:09

沙丁鱼VX 发表于 2020-7-21 19:15
测试环境：win10
测试产品：Avira
病毒库版本：无

??为什么我的Avira扫完就只剩4个dll文件

显示全部楼层 · 发表于 2020-7-22 08:28:38

qwe12301 发表于 2020-7-21 23:09
什么叫“连”？毒霸本地引擎在加强了，而且还在持续加强。不允许毒霸进步吗？

火绒原来不是这个水平的

显示全部楼层 · 发表于 2020-7-22 09:20:27

ESET

扫描241/250

显示全部楼层 · 发表于 2020-7-22 09:21:35

测试环境：win 10实机
测试产品：迈克菲网络安全实时防御套装
引擎版本：4140.0
测试项目：扫描
测试配置：标准
结果：扫描（ 198 / 250 ） = 总计（ 198/ 250 ）查杀率=79.2%
日志：
截图（可选)：

[病毒样本] 【开放测试】卡饭病毒样本包 20200721 第89期

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源