1x Payload

ICzcz

wwwab 发表于 2022-1-21 20:13
一个大小为69.3 KB的压缩包解压得到大小为1G+的文件，报压缩炸弹并没有问题

有道理哈哈哈

fzp070

swizzer 发表于 2022-1-21 19:51
我说的就是这个
能截图下你智量安装目录下的dat文件夹里的文件吗

有点奇怪：
一是你 分享文件是quartz.rar，下载下来却是RpsVwber_quartz.rar，与分享不符啊。
二是此文件压缩包显示70KB不到，里面的quartz.dll却有1GB大小。另外解压后看不到此dll，是隐藏了吗？
智量dat目录见下图

fzp070

swizzer 发表于 2022-1-21 19:51
我说的就是这个
能截图下你智量安装目录下的dat文件夹里的文件吗

将文件隐藏取消，对dll右键智量扫描，仍然不杀，见图

swizzer

fzp070 发表于 2022-1-21 20:18
有点奇怪：
一是你 分享文件是quartz.rar，下载下来却是RpsVwber_quartz.rar，与分享不符啊。
二是此文 ...

从这个网盘下载的都会有随机的前缀名。下划线后才是真实文件名。

这个dll就是如此。通过大量填0/overlay增大体积，压缩前都会在800M左右的大小（压缩比也会很高），这是这一家族样本用以逃过云端分析响应的手段。

看起来你的智量更新是成功的，但是为什么结果不一样呢
我这里智量的病毒库是这样：

fzp070

swizzer 发表于 2022-1-21 20:25
从这个网盘下载的都会有随机的前缀名。下划线后才是真实文件名。

这个dll就是如此。通过大量填0/overl ...

我智量是昨天才安装的，设置没改过。你看看设置与我一样不？另外请 @智量官方 帮忙看看为啥扫描有此差异？

swizzer

fzp070 发表于 2022-1-21 20:33
我智量是昨天才安装的，设置没改过。你看看设置与我一样不？另外请 @智量官方 帮忙看看为啥扫描有此差异 ...

主动防御是高等级，但是这也不影响扫描

还是让@智量官方 看看吧

fzp070

swizzer 发表于 2022-1-21 20:25
从这个网盘下载的都会有随机的前缀名。下划线后才是真实文件名。

这个dll就是如此。通过大量填0/overl ...

发现区别了，我们俩的dat文件数量、修改时间都一样，但有两个文件（localu.de、local.de）的大小不同，你的要大一些，见图，不知道这是为何了

swizzer

fzp070 发表于 2022-1-21 20:42
发现区别了，我们俩的dat文件数量、修改时间都一样，但有两个文件（localu.de、local.de）的大小不同，你 ...

那应该就是这里的问题，从我的测试来看，local是本地病毒库（模型+特征码），localu我不确定具体是什么，看名字像是url黑名单。这两个大小不一样应该会影响扫描结果的。

fzp070

swizzer 发表于 2022-1-21 20:44
那应该就是这里的问题，从我的测试来看，local是本地病毒库（模型+特征码），localu我不确定具体是什么， ...

你好，能不能麻烦把你智量dat文件夹中的local.de和localu.de复制一份给我，我刚试了下删除这两个文件，本以为智量会重新更新，结果只是创建了两个0kb的文件，
等了智量几次流式更新和重启电脑，仍是okb，文件大小没有变动。扫描RpsVwber_quartz.rar 仍不查杀。

我想再复制你智量内的local.de和localu.de Copy进我的智量dat，看看是不是能查杀RpsVwber_quartz.rar了，也好确定是不是这个因素引起的，谢谢！

swizzer

fzp070 发表于 2022-1-21 22:33
你好，能不能麻烦把你智量dat文件夹中的local.de和localu.de复制一份给我，我刚试了下删除这两个文件，本 ...

https://pan.huang1111.cn/s/YLO9SA





重装下智量或许可以解决

你装有其他安全软件吗

另外，扫描压缩包智量是不会杀的···智量不对打包文件做解包处理···所以建议解压后扫描