#IcedID(2022-02-16)

ICzcz

swizzer 发表于 2022-2-16 23:14
其实想了解ESET真的推荐把B大的文章读一读

https://bbs.kafan.cn/thread-2126628-1-1.html

好嘞。。

不过我好像得滚去学习了。。。

aboringman

swizzer 发表于 2022-2-16 22:39
娱乐组-RAV
说这货是FakeAV吧，它还有那么两下子
双击只杀一个hta

我开到主动送他们回家了

不对，我重置了镜像，再试了一次，发现SONAR都是直接干掉的。。。。。。

1. 文件名: acede4e871ff7ebeda48cd568f8761e7129ed6f596cccbbdce7634e58ecbd7e8.dll
   
2. 威胁名称: SONAR.Module!gen3完整路径: 不可用
   
3. 
   
4. ____________________________
   
5. 
   
6. ____________________________
   
7. 
   
8. 
   
9. 在电脑上
   
10. 2022/2/16 ( 23:15:28 )
    
11. 
    
12. 上次使用时间
    
13. 2022/2/16 ( 23:15:28 )
    
14. 
    
15. 启动项
    
16. 否
    
17. 
    
18. 已启动
    
19. 是
    
20. 
    
21. SONAR 主动防护监视电脑上的可疑程序活动。
    
22. 
    
23. ____________________________
    
24. 
    
25. 
    
26. acede4e871ff7ebeda48cd568f8761e7129ed6f596cccbbdce7634e58ecbd7e8.dll 威胁名称: SONAR.Module!gen3
    
27. 定位
    
28. 
    
29. 
    
30. 极少用户信任的文件
    
31. Norton 社区中有不到 5 名用户 使用了此文件。
    
32. 
    
33. 极新的文件
    
34. 该文件已在 不到 1 周 前发行。
    
35. 
    
36. 高
    
37. 此文件具有高风险。
    
38. 
    
39. 
    
40. ____________________________
    
41. 
    
42. 
    
43. 来源: 外部介质
    
44. 
    
45. 源文件:
    
46. WinRAR.exe
    
47. 
    
48. 创建的文件:
    
49. acede4e871ff7ebeda48cd568f8761e7129ed6f596cccbbdce7634e58ecbd7e8.dll
    
50. 
    
51. ____________________________
    
52. 
    
53. 文件操作
    
54. 
    
55. 文件: c:\Users\123\Desktop\ acede4e871ff7ebeda48cd568f8761e7129ed6f596cccbbdce7634e58ecbd7e8.dll 威胁已删除
    
56. ____________________________
    
57. 
    
58. 系统设置操作
    
59. 
    
60. 事件: 进程启动: c:\Windows\System32\ rundll32.exe, PID:372 (执行者 c:\users\123\desktop\acede4e871ff7ebeda48cd568f8761e7129ed6f596cccbbdce7634e58ecbd7e8.dll, PID:372) 未采取操作
    
61. ____________________________
    
62. 
    
63. 
    
64. 文件指纹 - SHA:
    
65. 不可用
    
66. 文件指纹 - MD5:
    
67. 不可用
    

复制代码

1. 文件名: 3ac9a7f1c1ce0eba4ba2092d53d5a3c424852a906a9f1054e5471751499cd48f.dll
   
2. 威胁名称: SONAR.Module!gen3完整路径: 不可用
   
3. 
   
4. ____________________________
   
5. 
   
6. ____________________________
   
7. 
   
8. 
   
9. 在电脑上
   
10. 2022/2/16 ( 23:15:28 )
    
11. 
    
12. 上次使用时间
    
13. 2022/2/16 ( 23:15:28 )
    
14. 
    
15. 启动项
    
16. 否
    
17. 
    
18. 已启动
    
19. 是
    
20. 
    
21. SONAR 主动防护监视电脑上的可疑程序活动。
    
22. 
    
23. ____________________________
    
24. 
    
25. 
    
26. 3ac9a7f1c1ce0eba4ba2092d53d5a3c424852a906a9f1054e5471751499cd48f.dll 威胁名称: SONAR.Module!gen3
    
27. 定位
    
28. 
    
29. 
    
30. 极少用户信任的文件
    
31. Norton 社区中有不到 5 名用户 使用了此文件。
    
32. 
    
33. 极新的文件
    
34. 该文件已在 不到 1 周 前发行。
    
35. 
    
36. 高
    
37. 此文件具有高风险。
    
38. 
    
39. 
    
40. ____________________________
    
41. 
    
42. 
    
43. 来源: 外部介质
    
44. 
    
45. 源文件:
    
46. WinRAR.exe
    
47. 
    
48. 创建的文件:
    
49. 3ac9a7f1c1ce0eba4ba2092d53d5a3c424852a906a9f1054e5471751499cd48f.dll
    
50. 
    
51. ____________________________
    
52. 
    
53. 文件操作
    
54. 
    
55. 文件: c:\Users\123\Desktop\ 3ac9a7f1c1ce0eba4ba2092d53d5a3c424852a906a9f1054e5471751499cd48f.dll 威胁已删除
    
56. ____________________________
    
57. 
    
58. 系统设置操作
    
59. 
    
60. 事件: 进程启动: c:\Windows\System32\ rundll32.exe, PID:8452 (执行者 c:\users\123\desktop\3ac9a7f1c1ce0eba4ba2092d53d5a3c424852a906a9f1054e5471751499cd48f.dll, PID:8452) 未采取操作
    
61. ____________________________
    
62. 
    
63. 
    
64. 文件指纹 - SHA:
    
65. 不可用
    
66. 文件指纹 - MD5:
    
67. 不可用
    

复制代码

Miostartos

ICzcz 发表于 2022-2-16 23:11
谢谢啦

不过我现在半个人气都没有。。。。

Augur这东西属于
被他干掉的肯定十恶不赦，但是7分坏蛋他就未必理了
现在和ELG联动还好一点，可疑就送上去了
但是ESET捏着ELG不说完全下放，给个阉割版到EIS他也不干（他们论坛里面有人提）

Solomondemeter

eset 清空

ICzcz

Miostartos 发表于 2022-2-16 23:19
Augur这东西属于
被他干掉的肯定十恶不赦，但是7分坏蛋他就未必理了
现在和ELG联动还好一点，可疑就送 ...

其实ELG没有用户想象的那么好。。。

第 1 层：高级解压缩和扫描
第 2 层：高级机器学习检测
第 3 层：实验性检测引擎  
第 4 层：深入行为分析

几乎全部杀毒全靠第一层

第二层第三层就是个摆设。。从来没有见EDTD的报告杀过。。

第四层也很玄学。。通常都不进行这一环节。。。

ICzcz

Solomondemeter 发表于 2022-2-16 23:24
eset 清空

@swizzer

云库联动了

Miostartos

ICzcz 发表于 2022-2-16 23:25
其实ELG没有用户想象的那么好。。。

好不好是一回事，主要是这个策略很奇怪
下放一个明显有助于ESET收集样本和改进ELG
他就不

ICzcz

Miostartos 发表于 2022-2-16 23:27
好不好是一回事，主要是这个策略很奇怪
下放一个明显有助于ESET收集样本和改进ELG
他就不

应该是怕自己的云直接被庞大的用户压垮了。。

Miostartos

ICzcz 发表于 2022-2-16 23:27
应该是怕自己的云直接被庞大的用户压垮了。。

那可太扯淡了
隔壁伞的APC可是正儿八经的多重分析云沙箱，也没见炸过

ICzcz

Miostartos 发表于 2022-2-16 23:29
那可太扯淡了
隔壁伞的APC可是正儿八经的多重分析云沙箱，也没见炸过

原因是ESET逊啊