1.

post88

https://ws28.cn/f/5it25einqlq

846472713

奇安信

anthonyqian

诺顿MBT拉黑


文叔叔竟然被我们学校拉黑了

00006666

360

Shake2333

卡巴斯基

救命稻草

00006666 发表于 2021-5-27 19:28
360

这是鲲鹏还是云报法啊？感觉以前基本都是QVM，而现在全变成这样的了。

00006666

救命稻草 发表于 2021-5-27 19:58
这是鲲鹏还是云报法啊？感觉以前基本都是QVM，而现在全变成这样的了。

这是云报法，鲲鹏报法没有开头win32/win64字样，部分报毒名中间会出现win32/win64，比如像这个感染型病毒样本。


鲲鹏报毒名一般开头都是病毒类型，比如这几种

1. Backdoor.Win32.Wabot.A
   
2. Trojan.Win32.Cosmu.D
   
3. Trojan.Win32.Qukart.A
   
4. Worm.Win32.Sfone.A
   
5. Virus.Win32.CTS.C
   
6. Trojan.Ransom.Win32.Crusis.A
   
7. Trojan.Win32.Coins.A

复制代码

报毒名G开头的也是典型的鲲鹏报法

1. G_Trojan.VB.XXXXX
   
2. G_Rootkit.Generic.XXXXX
   
3. G_Trojan.Generic.XXXXX
   
4. G_PUA.Generic.XXXXX
   
5. G_Backdoor.Generic.XXXXX
   
6. G_Packer.Generic.XXXXX

复制代码

云拉黑的样本，大多数改md5后就会变成QVM

某些脚本类病毒是QEX引擎报的，一般是下面这几种

1. virus.vbs.qexvmc.XXXX
   
2. 
   
3. heur.rtf.obfuscated.XXXX
   
4. 
   
5. virus.office.qexvmc.XXXX
   
6. 
   
7. macro.office.XXdefname.gen

复制代码

1. virus.js.qexvmc.XXXX

复制代码

Shake2333

救命稻草 发表于 2021-5-27 19:58
这是鲲鹏还是云报法啊？感觉以前基本都是QVM，而现在全变成这样的了。

鲲鹏报毒名前面是有G的

浪里个浪9527

k2132

火绒 右键扫没有    智量