Magniber ransomware x1

显示全部楼层 · 发表于 2022-5-19 22:53:00

本帖最后由 swizzer 于 2022-5-19 22:54 编辑

00006666 发表于 2022-5-19 22:48
突然发现智量好像是把那个被注入的正常系统文件给清除了

有完整日志吗，我看一下。

"仅阻止"
~~而且这里面也没有被注入的程序···有的只是msiexec.exe~~

显示全部楼层 · 发表于 2022-5-19 22:54:59

本帖最后由 00006666 于 2022-5-19 22:56 编辑

swizzer 发表于 2022-5-19 22:53
"仅阻止"
~~而且这里面也没有被注入的程序···有的只是msiexec.exe~~

看到了，其实系统用来是运行MSI的文件，所有MSI都是用这个运行的。

你看一下installer目录，那个随机名.tmp的文件是不是还在那里

显示全部楼层 · 发表于 2022-5-19 22:58:58

本帖最后由 00006666 于 2022-5-19 23:00 编辑

swizzer 发表于 2022-5-19 22:33
先是虚拟机里杀掉，关掉SysCall组件后实体机的HMPA把VM Ware识别为Ransom

（果然共享文件夹 ...

感觉智量好像看不到是哪个具体文件做的行为，所以只能拦截系统用来运行MSI的正常程序，可以建议工程师研究一下这个问题

显示全部楼层 · 发表于 2022-5-19 22:59:52

00006666 发表于 2022-5-19 22:54
看到了，其实系统用来是运行MSI的文件，所有MSI都是用这个运行的。
你看一下installer目录，那个随机名. ...

~~不出意外的~~还在

个人觉得智量这里应该是没有识别到勒索动作的真正发起来源，主防应该还有改进空间

@智量官方

显示全部楼层 · 发表于 2022-5-19 23:01:37

swizzer 发表于 2022-5-19 22:59
~~不出意外的~~还在

个人觉得智量这里应该是没有识别到勒索动作的真正发起来源，主防应该还有改进 ...

据说好像智量对于系统目录里面的系统文件，数签有效的话，通常都只是仅阻止

显示全部楼层 · 发表于 2022-5-19 23:03:22

00006666 发表于 2022-5-19 22:58
感觉智量好像看不到是哪个具体文件做的行为，所以只能拦截系统用来运行MSI的正常程序，可以建议工程师研 ...

这个问题在以前的一个#Remcos（Fake Installer）样本里我就向官方反馈过，当时官方的回复是，指令追踪需要进一步加强

事实上现在的指令追踪主要还是杀白加黑为多，对于需要解释器加载的样本，追踪效果还不是很好

显示全部楼层 · 发表于 2022-5-19 23:05:31

本帖最后由 swizzer 于 2022-5-19 23:13 编辑

00006666 发表于 2022-5-19 23:01
据说好像智量对于系统目录里面的系统文件，数签有效的话，通常都只是仅阻止

其实只要数签可信，都是仅阻止

所以我在https://bbs.kafan.cn/forum.php?m ... 931&fromuid=1068458这里提到的那个样本，智量当时只是内存防护组件侦测到恶意代码，然后终止了白文件进程，但是没删除黑dll

不过话说回来，白文件本来也不是可以随意删除的···吧

补个链接，样本来自此处
https://pan.huang1111.cn/s/g8ZQsQ

显示全部楼层 · 发表于 2022-5-19 23:09:39

本帖最后由 00006666 于 2022-5-20 00:39 编辑

编辑

显示全部楼层 · 发表于 2022-5-19 23:27:27

卡巴已云杀

显示全部楼层 · 发表于 2022-5-20 00:18:56

[病毒样本] Magniber ransomware x1

评分

评分

本帖子中包含更多资源