#Farfli

显示全部楼层 · 发表于 2022-5-12 23:23:33

诺顿miss

样本运行后与CC通信成功并有较大流量下载，本来想截图的，但就在此时虚拟机被对方关闭。。

败得彻底啊

显示全部楼层 · 发表于 2022-5-12 23:30:22

本帖最后由 kuroandsan 于 2022-5-13 00:25 编辑

卡巴应该是miss了
XLiveUpd.exe还在，就是没被shutdown（（

hacker没看上虚拟机（不是

显示全部楼层 · 发表于 2022-5-12 23:31:59

swizzer 发表于 2022-5-12 23:22
破案了，需要放在特定路径下才能运行

见主楼更新

ESET关闭了实时扫描后，执行，触发了高级内存扫描程序，准确识别出了Farfli，此时KART还没反应

系统内存 > XLiveUpd.exe(17988) - Win32/Farfli.BLH 特洛伊木马的变量

显示全部楼层 · 发表于 2022-5-12 23:33:42

Hibike 发表于 2022-5-12 23:23
诺顿miss

让我们数一数诺顿从昨天到今天翻车了几次了……

显示全部楼层 · 发表于 2022-5-12 23:38:56

catchpulse扫描miss，运行拦截

显示全部楼层 · 发表于 2022-5-12 23:39:47

anthonyqian 发表于 2022-5-12 23:33
让我们数一数诺顿从昨天到今天翻车了几次了……

没办法啊，没办法

IPS对付这种东西终究不如内存匹配特征/主防杀来的轻松容易

显示全部楼层 · 发表于 2022-5-12 23:41:53

本帖最后由 anthonyqian 于 2022-5-12 23:44 编辑

Hibike 发表于 2022-5-12 23:39
没办法啊，没办法

IPS对付这种东西终究不如内存匹配特征/主防杀来的轻松容易

我在翻铁壳的病毒库更新日志的时候看到铁壳有MEMSCAN的报法的，就是看起来不太强

显示全部楼层 · 发表于 2022-5-12 23:43:29

本帖最后由白崎桑于 2022-5-13 00:17 编辑

Huorong Internet Security

Tencent PC Manger

Kaspersky Free Antivirus

显示全部楼层 · 发表于 2022-5-12 23:51:46

anthonyqian 发表于 2022-5-12 10:33
让我们数一数诺顿从昨天到今天翻车了几次了……

我的测试是（除去信誉杀）：
前天那个典型勒索诺顿DP完美防住（相比卡巴看着勒索一个个加密完再回滚，BD看着勒索加密了一半再回滚，诺顿就没让勒索加密过）
昨天那个让所有主流杀软都沦陷的帖子里格式化C盘病毒DP完美防住
其他基本都翻了

这期间我关了5个诺顿的右下角广告

显示全部楼层 · 发表于 2022-5-12 23:57:43

本帖最后由 onedrive 于 2022-5-12 07:58 编辑

hushuai 发表于 2022-5-12 07:51
我的测试是（除去信誉杀）：
前天那个典型勒索诺顿DP完美防住（相比卡巴看着勒索一个个加密完再回滚，BD ...

诺顿的这个广告好像是美帝版才会弹吧？就是主界面有smart scan那个。我不是非常确定，诺顿社区好像看到过美帝版反馈广告太多

[病毒样本] #Farfli