勒索病毒加个壳就过了KES_11.7.0.669还没有回滚，这是什么原因？

显示全部楼层 · 发表于 2022-1-8 16:50:53

本帖最后由 lixihong10 于 2022-1-8 18:43 编辑

以前记得卡巴斯基的回滚很厉害，今天测试一波。在很久之前的勒索病毒加壳运行，结果全程没有任何反应，直接被过了？
请勿实机运行！

加壳.rar (635.69 KB, 下载次数: 195)

显示全部楼层 · 发表于 2022-1-8 16:58:07

单纯的的菜罢了

显示全部楼层 · 发表于 2022-1-8 17:00:40

本帖最后由 aiqinghe 于 2022-1-8 17:10 编辑

的确就是没防住我这KIS也漏了上报吧
BEST扫描也miss，机器学习杀了

显示全部楼层 · 发表于 2022-1-8 17:30:08

本帖最后由秋日之殇于 2022-1-8 17:37 编辑

可能是该样本本来卡巴主防就无法防御，加壳过启发后就凉凉了

已上报。

显示全部楼层 · 发表于 2022-1-8 17:46:10

本帖最后由 syswow64 于 2022-1-8 17:48 编辑

加壳之前能不能主防杀呢，如果之前就不能主防杀加壳了也不行

Norton B杀，关闭启发后运行DP拦截文件删除操作，文件无损失
屏幕截图 2021-12-02 110316.jpg

显示全部楼层 · 发表于 2022-1-8 17:48:03

本帖最后由 00006666 于 2022-1-8 17:50 编辑

syswow64 发表于 2022-1-8 17:46
加壳之前能不能主防杀呢，如果之前就不能主防杀加壳了也不行

那个其实是机学报壳，不过主防确实能防。

显示全部楼层 · 发表于 2022-1-8 17:52:12

00006666 发表于 2022-1-8 17:48
那个其实是机学报壳，不过DP确实能防一些，不知道其他目录的情况如何。

我知道，Norton的机学杀壳很多，还有专门的vmp报法，DP基本是按扩展名防的，常用扩展名的敏感操作会被干掉，如果小众的扩展名就可能漏一部分，目录基本是全的，很多深层缓存目录也能拦，问题就是对非exe样本不敏感，还有就是会留下垃圾，比如本帖这个样本留下了一堆加密文件还有勒索信，只拦截了删除源文件的操作。

现在感觉DP的拦截能力已经挺强的了，要是误杀再少点就更好了。

显示全部楼层 · 发表于 2022-1-8 18:33:38

本帖最后由 lixihong10 于 2022-1-8 18:36 编辑

秋日之殇发表于 2022-1-8 17:30
可能是该样本本来卡巴主防就无法防御，加壳过启发后就凉凉了
已上报。

行为防御无法拦截，但是主动防御检测还是会查杀没加壳之前的。上报只能拉黑当前，换个壳或者从新加壳就继续过了，关键还是要得能防御住。

显示全部楼层 · 发表于 2022-1-8 18:38:39

syswow64 发表于 2022-1-8 17:46
加壳之前能不能主防杀呢，如果之前就不能主防杀加壳了也不行

Norton B杀，关闭启发后运行DP拦截文件删除 ...

看日志没加壳之前主防可以查杀。

显示全部楼层 · 发表于 2022-1-8 18:41:21

pal家族发表于 2022-1-8 16:58
单纯的的菜罢了

一直用ESET的我也觉得ESET菜

[交流探讨] 勒索病毒加个壳就过了KES_11.7.0.669还没有回滚，这是什么原因？

评分

评分