#Nemty #Ransomware #Signed

显示全部楼层 · 发表于 2021-4-23 12:30:25

温馨小屋发表于 2021-4-23 10:18
卡巴

事件 : 对象已删除

很多宏病毒也是不清除，只是删除。

显示全部楼层 · 发表于 2021-4-23 12:35:38

Avast
Win64:DangerousSig [Trj]

显示全部楼层 · 发表于 2021-4-23 16:13:24

本帖最后由 ccboxes 于 2021-4-23 16:15 编辑

温馨小屋发表于 2021-4-23 10:18
卡巴

事件 : 对象已删除

很自然吧，HEUR现在大部分特征都是机器学习，加了壳能认出来才怪。现在还搞动态启发的越来越少了，性价比不划算。

显示全部楼层 · 发表于 2021-4-23 16:46:31

ccboxes 发表于 2021-4-23 16:13
很自然吧，HEUR现在大部分特征都是机器学习，加了壳能认出来才怪。现在还搞动态启发的越来越少了，性价比 ...

确实，HEUR的特征越来越次了，之前这种普通壳卡巴一般没问题的，现在哈希检测器越来越多了

显示全部楼层 · 发表于 2021-4-23 17:22:33

本帖最后由 ccboxes 于 2021-4-23 17:24 编辑

温馨小屋发表于 2021-4-23 16:46
确实，HEUR的特征越来越次了，之前这种普通壳卡巴一般没问题的，现在哈希检测器越来越多了

其实也是混淆加密技术越来越强了，各种loader百花齐放，脱壳还要针对每种壳专门分析，往往下一个样本就是另一种全新的打包方式，越来越不经济了。

另外我记得UPX就是简单解压到内存中吧，也可以从侧面看出卡巴的启发式分析不参与内存扫描。

显示全部楼层 · 发表于 2021-4-23 17:39:25

ccboxes 发表于 2021-4-23 17:22
其实也是混淆加密技术越来越强了，各种loader百花齐放，脱壳还要针对每种壳专门分析，往往下一个样本就是 ...

卡巴的内存扫描有单独的特征，和文件扫描不一样

显示全部楼层 · 发表于 2021-4-23 17:40:42

本帖最后由 00006666 于 2021-4-23 17:56 编辑

温馨小屋发表于 2021-4-23 16:46
确实，HEUR的特征越来越次了，之前这种普通壳卡巴一般没问题的，现在哈希检测器越来越多了

virustotal上面有很多机器学习引擎会报VMP，hello world加VMPSDK居然都有很多引擎会报，不过现在QVM好像不报VMP了。

显示全部楼层 · 发表于 2021-4-23 17:58:41

Avira HEUR/AGEN.1141502

显示全部楼层 · 发表于 2021-4-23 18:16:52

00006666 发表于 2021-4-23 17:40
virustotal上面有很多机器学习引擎会报VMP，hello world加VMPSDK居然都有很多引擎会报，不过现在QVM好像 ...

误报狂魔QVM又进步了吗

[病毒样本] #Nemty #Ransomware #Signed