改用户密码锁机，vt首次扫描4/65

显示全部楼层 · 发表于 2021-8-22 21:49:56

swizzer 发表于 2021-8-22 21:26
所以我说了啊···关掉智量的自动更新就行

智量的病毒库就存放在自身文件夹下的dat文件夹，据 ...

哦哦忘了智量没云了。。。还是建议官方规范一下报毒的名称吧，好区分那些是入库那些是ML之类的。。

显示全部楼层 · 发表于 2021-8-22 21:51:53

anthonyqian 发表于 2021-8-22 21:49
哦哦忘了智量没云了。。。还是建议官方规范一下报毒的名称吧，好区分那些是入库那些是ML之类的。。

静态的话，入库=XXXXX.Generic。带ML的都是实打实的ML

主防的话我看到的就是上面说的那样。（好歹我测试了一年多，应该不会有其他情况了吧

）

显示全部楼层 · 发表于 2021-8-22 21:59:09

swizzer 发表于 2021-8-22 21:51
静态的话，入库=XXXXX.Generic。带ML的都是实打实的ML

主防的话我看到的就是上面说的那样。（好歹我测 ...

之前看到一个贴子不知道是你还是智量官人说Trojan.Generic 也不是入库。。。

显示全部楼层 · 发表于 2021-8-22 22:05:38

anthonyqian 发表于 2021-8-22 21:59
之前看到一个贴子不知道是你还是智量官人说Trojan.Generic 也不是入库。。。

我确实说过Trojan.Generic≠Hash拉黑

但是“不是入库”这个说法，我觉得大概是你记错了吧···

官人自称与其他厂商相比，这种报法是一种时间复杂度更低的特征算法

是真是伪听者自辨···

显示全部楼层 · 发表于 2021-8-22 22:20:17

swizzer 发表于 2021-8-22 22:05
我确实说过Trojan.Generic≠Hash拉黑但是“不是入库”这个说法，我觉得大概是你记错了吧···

...

智量是不是都不是Hash拉黑呀

显示全部楼层 · 发表于 2021-8-22 22:27:30

anthonyqian 发表于 2021-8-22 22:20
智量是不是都不是Hash拉黑呀

目前看来都不是。这是基于以下理由：
PE类样本入库的修改MD5（Overlay）后还能侦测到。

但如果用其他方法修改MD5（改Section，改执行流）也有可能绕过。

当然，脚本类的用工具修改MD5后结构就变了，这时入库的就无法再被侦测到了

显示全部楼层 · 发表于 2021-8-22 22:31:56

swizzer 发表于 2021-8-22 22:27
目前看来都不是。这是基于以下理由：
PE类样本入库的修改MD5（Overlay）后还能侦测到。

这点比铁壳咖啡之类的强~

显示全部楼层 · 发表于 2021-8-22 23:17:09

ANY.LNK 发表于 2021-8-22 18:59
Microsoft账户密码更改有在线以及服务器内部验证，不是那么容易就改的

这个我知道。就是有很多通过改账户密码的病毒不知道对于Microsoft在线账户管不管用，以及PE模式下改密码是否也有效

显示全部楼层 · 发表于 2021-8-22 23:29:42

喀反发表于 2021-8-22 23:17
这个我知道。就是有很多通过改账户密码的病毒不知道对于Microsoft在线账户管不管用，以及PE模式下改密码 ...

这些病毒一般只能改本地密码，对在线账户的密码不起作用，但仍有凭据窃取的风险。PE下可以改一些较早版本的Windows账户密码，但同样对于使用Microsoft账户登录的最新Windows 10无效

显示全部楼层 · 发表于 2021-8-23 09:13:10

ANY.LNK 发表于 2021-8-22 23:29
这些病毒一般只能改本地密码，对在线账户的密码不起作用，但仍有凭据窃取的风险。PE下可以改一些较早版本 ...

Credential Guard是不是微软为了保护账户凭证的一种防御机制？

[病毒样本] 改用户密码锁机，vt首次扫描4/65