【夜宵】远控

显示全部楼层 · 发表于 2021-4-12 02:05:53

智量关闭实时监控，双击主防秒杀，弹出了一个图片窗口，和一个登陆微软账户的窗口然后就被智量主防杀了

显示全部楼层 · 发表于 2021-4-12 09:51:24

显示全部楼层 · 发表于 2021-4-12 10:03:20

温馨小屋发表于 2021-4-11 23:40
MES月神杀，改MD5之后双击RP杀

卡巴这个挺有意思，卡巴安全软件默认设置测试这个样本和上个一样，监控没反应，需要快速扫描才能查出内存中的木马。
但是，如果在程序控制里把低限制组网络规则继承自定义为询问，执行样本卡巴安全软件主防就能爆出威胁。

显示全部楼层 · 发表于 2021-4-12 10:05:29

vm001 发表于 2021-4-12 10:03
卡巴这个挺有意思，卡巴安全软件默认设置测试这个样本和上个一样，监控没反应，需要快速扫描才能查出内存 ...

卡巴这个设置就是玄学

显示全部楼层 · 发表于 2021-4-12 12:56:01

本帖最后由 ccboxes 于 2021-4-12 12:58 编辑

温馨小屋发表于 2021-4-12 10:05
卡巴这个设置就是玄学

我觉得很可能是远控云端设置了随机不触发或者其他条件来筛选。

远控不适合卡饭这种众测，系统环境太多了。

另外realprotect断网能力现在怎么样？我记得以前一断网就GG了。

显示全部楼层 · 发表于 2021-4-12 13:14:53

山石云影 TROJAN.GENERIC.HS

显示全部楼层 · 发表于 2021-4-12 13:27:49

anthonyqian 发表于 2021-4-11 23:39
ESET

上报二十分钟后云拉黑。Win32/GenKryptik.FDYB 特洛伊木马的变量。不是很懂，这个报法是 ...

GenK这个报法好像是机器自动拉黑，特征特别不精确的那种，改改就能过的那种拉黑

显示全部楼层 · 发表于 2021-4-12 13:29:40

ccboxes 发表于 2021-4-12 12:56
我觉得很可能是远控云端设置了随机不触发或者其他条件来筛选。

远控不适合卡饭这种众测，系统环境太多 ...

没试过断网，看设置来说断网就没有行为检测了

显示全部楼层 · 发表于 2021-4-12 13:44:28

桑德尔发表于 2021-4-12 13:27
GenK这个报法好像是机器自动拉黑，特征特别不精确的那种，改改就能过的那种拉黑

至少单纯改MD5 还是报毒。。

显示全部楼层 · 发表于 2021-4-12 13:53:59

anthonyqian 发表于 2021-4-12 13:44
至少单纯改MD5 还是报毒。。

可能是模糊哈希。

[病毒样本] 【夜宵】远控