传奇sf rootkit 2x

显示全部楼层 · 发表于 2021-11-20 18:01:14

ICzcz 发表于 2021-11-20 17:56
....还是不靠谱啊

传奇sf确实难为云沙箱了。。

显示全部楼层 · 发表于 2021-11-20 18:03:44

00006666 发表于 2021-11-20 17:59
样本带了有效的WHQL签名。

嗯，我知道。已经上报了，看能不能上报成功吧。

显示全部楼层 · 发表于 2021-11-20 18:05:53

00006666 发表于 2021-11-20 17:59
样本带了有效的WHQL签名。

这俩卡巴是直接对文件本身的信任，而不是信任签名。

显示全部楼层 · 发表于 2021-11-20 18:09:55

anthonyqian 发表于 2021-11-20 18:05
这俩卡巴是直接对文件本身的信任，而不是信任签名。

可能是因为kaspersky opentip会自动加白有可信签名的文件。

显示全部楼层 · 发表于 2021-11-20 18:10:56

00006666 发表于 2021-11-20 18:09
可能是因为kaspersky opentip会自动加白有可信签名的文件。

emmm 好像不会吧

显示全部楼层 · 发表于 2021-11-20 18:11:47

本帖最后由 00006666 于 2021-11-20 18:12 编辑

anthonyqian 发表于 2021-11-20 17:55
ESET ELG

A946D07DFCA5.exe - 文件安全可用

驱动类型样本，云沙箱应该是不支持动态分析行为的。

显示全部楼层 · 发表于 2021-11-20 18:15:05

00006666 发表于 2021-11-20 18:11
驱动类型样本，云沙箱应该是不支持动态分析行为的。

卡巴给信任的分级一般都是由人工分析过的吧

如果只是单纯的云沙箱未检出，应该是报“no threat detected”的

显示全部楼层 · 发表于 2021-11-20 18:16:28

anthonyqian 发表于 2021-11-20 18:15
卡巴给信任的分级一般都是由人工分析过的吧如果只是单纯的云沙箱未检出，应该是报“no threat d ...

我刚刚指的是ELG，驱动类型的样本，ELG应该是不支持动态行为分析，只能静态分析。

显示全部楼层 · 发表于 2021-11-20 18:18:25

00006666 发表于 2021-11-20 18:16
我刚刚指的是ELG，驱动类型的样本，ELG应该是不支持动态行为分析，只能静态分析。

那我就不知道了

不过ELG至少也分析了4分钟才出结果的

显示全部楼层 · 发表于 2021-11-20 18:19:53

本帖最后由 00006666 于 2021-11-20 18:25 编辑

anthonyqian 发表于 2021-11-20 18:18
那我就不知道了不过ELG至少也分析了4分钟才出结果的

以前好像有见过kaspersky opentip好像对带可信签名程序会自动加白的，不过我也没有专门测试过，不太清楚具体的情况，可以问一下@秋日之殇

[病毒样本] 传奇sf rootkit 2x