Upgraded Signed SolarMarker VT 8/65 (2022-05-25)

显示全部楼层 · 发表于 2022-5-29 09:30:26

火绒扫描miss

显示全部楼层 · 发表于 2022-5-29 10:47:44

swizzer 发表于 2022-5-28 23:31
阻止后，重启powershell成功运行，智量内存防护无反应。
@智量官方

还有结束进程的？

显示全部楼层 · 发表于 2022-5-29 10:49:11

ESSP

显示全部楼层 · 发表于 2022-5-29 11:45:47

tdsskiller 发表于 2022-5-29 10:47
还有结束进程的？

不像是结束进程，拿工具没看到什么结束进程的行为。

而且神奇的是，powershell执行后，即使结束掉powershell，智量主程序也会反复自退···
等官方来看看是什么原因吧

显示全部楼层 · 发表于 2022-5-29 11:52:20

swizzer 发表于 2022-5-29 11:45
不像是结束进程，拿工具没看到什么结束进程的行为。

而且神奇的是，powershell执行后，即使结束 ...

那不应该引起杀软的退出重启吧？退出重启很可能就是被结束然后自保护重启

显示全部楼层 · 发表于 2022-5-29 11:54:04

本帖最后由 00006666 于 2022-5-29 11:55 编辑

tdsskiller 发表于 2022-5-29 11:52
那不应该引起杀软的退出重启吧？退出重启很可能就是被结束然后自保护重启

这个样本好像没有加载内核模块，应该没这么容易攻击带自保的杀软。

显示全部楼层 · 发表于 2022-5-29 11:58:56

tdsskiller 发表于 2022-5-29 11:52
那不应该引起杀软的退出重启吧？退出重启很可能就是被结束然后自保护重启

我也很疑惑，但是我昨天反复测试了五六次，确实存在这种情况
所以我只能归因于智量自身的bug

显示全部楼层 · 发表于 2022-5-29 12:00:40

swizzer 发表于 2022-5-29 11:58
我也很疑惑，但是我昨天反复测试了五六次，确实存在这种情况
所以我只能归因于智量自身的bug

智量比较小众，很少有真实环境样本会针对性结束智量进程的。

显示全部楼层 · 发表于 2022-5-29 12:07:15

swizzer 发表于 2022-5-29 11:58
我也很疑惑，但是我昨天反复测试了五六次，确实存在这种情况
所以我只能归因于智量自身的bug

难道主防bug了？引起智量退出重启，然后不断触发不断崩溃重启？

显示全部楼层 · 发表于 2022-5-29 12:08:29

00006666 发表于 2022-5-29 12:00
智量比较小众，很少有真实环境样本会针对性结束智量进程的。

emmm，确实。。。

但是一般通用型的是结束所有非系统进程，详情可以看我的帖子：gmer利用

[病毒样本] Upgraded Signed SolarMarker VT 8/65 (2022-05-25)