这些样本是有恶意动作的，微点为什么不杀？

黑暗在翻腾

https://www.lanzoux.com/i7NVpfm2gaf  @微点佰慧   请客服关了监控仔细测试一下，现在的微点这么保守的吗？为了降低误报，这些有明显恶意动作的都不杀了？

微点佰慧

感谢反馈，这些样本，我们会分析测试下

epattack

我测试的情况是，那几个PE可执行文件，除了一个损坏，其他的主防都拦截，doc的没测

黑暗在翻腾

epattack 发表于 2020-8-14 18:32
我测试的情况是，那几个PE可执行文件，除了一个损坏，其他的主防都拦截，doc的没测

有人说在测试中，拦截开机启动就没动作了，你能上个截图？

你开心就好

黑暗在翻腾 发表于 2020-8-14 19:37
有人说在测试中，拦截开机启动就没动作了，你能上个截图？

有人？合着你也没有亲自测试

swizzer

Hello,
PE样本这里面那几个MFC图标的是#Emotet，微点正常情况下绝对会杀的。我这里就杀了。

剩下几个dll在我这里只是连接C&C，未见实质恶意行为。

另有一个#AgentTesla,这个是微点的软肋，此版本自然不会杀。



日志：

1. 时间        类型        处理结果        病毒名称        病毒路径        创建者        描述
   
2. 2020-08-15 16:38:17        木马        处理成功        未知木马        C:\WINDOWS\SYSWOW64\VDSBAS\P2PNETSH.EXE        D:\$AA\41X (2020-08-14)\41X (2020-08-14)\KAFAN_SAMPLE_85CC45E6519299681A325A936C56A017A6A5488B2EEED7977F5601F919F33AC8.EXE        未发现任何修改动作
   
3. 2020-08-15 16:38:17        木马        处理成功        未知木马        D:\$AA\41X (2020-08-14)\41X (2020-08-14)\KAFAN_SAMPLE_85CC45E6519299681A325A936C56A017A6A5488B2EEED7977F5601F919F33AC8.EXE        C:\PROGRAM FILES\WINRAR\WINRAR.EXE        生成(1)个文件
   
4. 2020-08-15 16:38:12        木马        处理成功        未知木马        C:\WINDOWS\SYSWOW64\MTXLEGIH\WSCISVIF.EXE        D:\$AA\41X (2020-08-14)\41X (2020-08-14)\KAFAN_SAMPLE_18FF84AF25BB31C478741616288C35C91C87A21FE757B1FA60E1A5B6F30F6DF1.EXE        未发现任何修改动作
   
5. 2020-08-15 16:38:12        木马        处理成功        未知木马        D:\$AA\41X (2020-08-14)\41X (2020-08-14)\KAFAN_SAMPLE_18FF84AF25BB31C478741616288C35C91C87A21FE757B1FA60E1A5B6F30F6DF1.EXE        C:\PROGRAM FILES\WINRAR\WINRAR.EXE        生成(1)个文件
   
6. 2020-08-15 16:38:08        木马        处理成功        未知木马        C:\WINDOWS\SYSWOW64\DVDPLAY\ES.EXE        D:\$AA\41X (2020-08-14)\41X (2020-08-14)\KAFAN_SAMPLE_9A746F9053F3C8FE10D9D73139C8DFEFB62990169093FCE210058D15DEAA086B.EXE        未发现任何修改动作
   
7. 2020-08-15 16:38:08        木马        处理成功        未知木马        D:\$AA\41X (2020-08-14)\41X (2020-08-14)\KAFAN_SAMPLE_9A746F9053F3C8FE10D9D73139C8DFEFB62990169093FCE210058D15DEAA086B.EXE        C:\PROGRAM FILES\WINRAR\WINRAR.EXE        生成(1)个文件
   
8. 2020-08-15 16:32:04        木马        处理成功        未知木马        D:\$AA\41X (2020-08-14)\41X (2020-08-14)\KAFAN_SAMPLE_2592C39FFBE369B2A6D1CF29E90BC0D0459AC881AE5FC2425EE61AA04FF2E97A.EXE        C:\PROGRAM FILES\WINRAR\WINRAR.EXE        注册表中修改(1)项
   
9. 2020-08-15 16:30:08        木马        处理成功        未知木马        C:\WINDOWS\SYSWOW64\AUTOCONV\IISRESET.EXE        D:\$AA\41X (2020-08-14)\41X (2020-08-14)\KAFAN_SAMPLE_4B501D640D380C604F5991BC7B4C7B9661C9F2DC82E0E673374C3F19EF01712B.EXE        未发现任何修改动作
   
10. 2020-08-15 16:30:08        木马        处理成功        未知木马        D:\$AA\41X (2020-08-14)\41X (2020-08-14)\KAFAN_SAMPLE_4B501D640D380C604F5991BC7B4C7B9661C9F2DC82E0E673374C3F19EF01712B.EXE        C:\PROGRAM FILES\WINRAR\WINRAR.EXE        生成(1)个文件
    

复制代码

黑暗在翻腾

swizzer 发表于 2020-8-16 22:39
Hello,
PE样本这里面那几个MFC图标的是#Emotet，微点正常情况下绝对会杀的。我这里就杀了。

加个Q交流一下，我私密你

黑暗在翻腾

swizzer 发表于 2020-8-16 22:39
Hello,
PE样本这里面那几个MFC图标的是#Emotet，微点正常情况下绝对会杀的。我这里就杀了。

杀了9个，还可以啊，那哥们好像没你杀得多是怎么回事

swizzer

黑暗在翻腾 发表于 2020-8-16 23:45
杀了9个，还可以啊，那哥们好像没你杀得多是怎么回事

#Emotet在32位系统下跑不起来。

话说回来，这几期样本包里微点基本也就只能杀#Emotet了。。。

旋极

swizzer 发表于 2020-8-22 09:03
#Emotet在32位系统下跑不起来。

话说回来，这几期样本包里微点基本也就只能杀#Emotet了。。。

我没猜错的话，是不是这位微点粉老是黑智量刺激到你了，所以你来特意评论来反击