#Magniber msi 1X (2022-05-27-01)

显示全部楼层 · 发表于 2022-5-27 23:05:15

00006666 发表于 2022-5-27 21:59
话说智量那里有没有打算从远程注入那个阶段就阻断样本，这个阶段拦截好像比后面要靠谱。

是较早拦比较好，但是要考虑到误报情况综合决定

显示全部楼层 · 发表于 2022-5-27 23:09:24

swizzer 发表于 2022-5-27 22:58
墨家小子前前后后试过不少样本吧，ESET表现都很不错

HIPS 最难的部分都做好了，简单的部分却摆烂
难以理解

显示全部楼层 · 发表于 2022-5-27 23:12:31

anthonyqian 发表于 2022-5-27 01:28
好奇KART有没有疯狂弹出exploit的警报？

有的

显示全部楼层 · 发表于 2022-5-27 23:13:41

Jirehlov1234 发表于 2022-5-27 22:30
真实世界的误报情况@智量官方应该能给出更客观的结果。
Magniber这个例子必须要比较多的条件才能压误报 ...

ESET这个修改其它程序状态感觉不一定是匹配注入，也可能是拦截以危险权限打开其它程序进程，这样的话会有较多误报。如果是ESET的修改其它程序状态等于远程线程注入，那没什么误报。

Magniber的注入较难拦截，它不仅有基于直接系统调用的远程线程注入，还有通过直接系统调用使用NtSetThreadContext直接修改已经存在的线程的执行流程，64位系统下限制了内核HOOK比较难拦截这类注入。

显示全部楼层 · 发表于 2022-5-27 23:17:11

本帖最后由 00006666 于 2022-5-27 23:18 编辑

智量官方发表于 2022-5-27 23:13
ESET这个修改其它程序状态感觉不一定是匹配注入，也可能是拦截以危险权限打开其它程序进程，这样的话会有 ...

卡巴/BD/360这类用了VT的倒是能拦，智量或许可以把使用VT的方案列入开发计划，以后条件合适了可以用上来增强HIPS倒是不错。

显示全部楼层 · 发表于 2022-5-27 23:18:13

avira 扫描miss
双击miss

显示全部楼层 · 发表于 2022-5-27 23:22:11

本帖最后由 a27573 于 2022-5-27 23:30 编辑

00006666 发表于 2022-5-27 23:17
卡巴/BD/360这类用了VT的倒是能拦，智量或许可以把使用VT的方案列入开发计划，以后条件合适了可以用上来 ...

卡巴只有浏览器保护用了 VT 吧？
BD 是什么地方用了 VT？

显示全部楼层 · 发表于 2022-5-27 23:25:37

00006666 发表于 2022-5-27 23:17
卡巴/BD/360这类用了VT的倒是能拦，智量或许可以把使用VT的方案列入开发计划，以后条件合适了可以用上来 ...

VT较底层功能性不错，但是兼容性较差，性能影响大。在内核态下不使用VT也是有其它的办法的。

显示全部楼层 · 发表于 2022-5-27 23:26:21

a27573 发表于 2022-5-27 23:22
卡巴只有浏览器保护用了 VT 吧？
BD 是什么地方用了 VT？

卡巴/BD好像是整个主防都有用VT，可能是平时没开VT也能有其他方法来防护，所以对拦截无影响，你问一下@swizzer 应该知道。

显示全部楼层 · 发表于 2022-5-27 23:28:46

本帖最后由 a27573 于 2022-5-28 00:04 编辑

编辑

[病毒样本] #Magniber msi 1X (2022-05-27-01)

评分

评分

本帖子中包含更多资源