#Magniber msi 1X (2022-06-03-03)

显示全部楼层 · 发表于 2022-6-3 19:06:31

就卡巴和eset对这个特征提取比较好，只有卡巴是免费的哎

显示全部楼层 · 发表于 2022-6-3 19:07:49

huangzihang 发表于 2022-6-3 19:03
双击也miss吗只能说真的服，BD太敷衍了

实机没测双击，但之前ATD是不能完全拦住的。我去配置下虚拟机，用BEST测试下

显示全部楼层 · 发表于 2022-6-3 19:09:49

企稳向好发表于 2022-6-3 19:07
实机没测双击，但之前ATD是不能完全拦住的。我去配置下虚拟机，用BEST测试下

我已经为此找了两次技术支持了，然而从报名Trojan.genericKD.123456来看还是简单的拉黑

显示全部楼层 · 发表于 2022-6-3 19:12:57

御点

显示全部楼层 · 发表于 2022-6-3 19:59:33

McAfee miss

显示全部楼层 · 发表于 2022-6-3 20:07:59

本帖最后由企稳向好于 2022-6-3 20:11 编辑

huangzihang 发表于 2022-6-3 19:09
我已经为此找了两次技术支持了，然而从报名Trojan.genericKD.123456来看还是简单的拉黑

BEST测试：鉴定为寄

反恶意软件拦截到命令行，但没用，文件已经被加密了

显示全部楼层 · 发表于 2022-6-3 20:26:17

企稳向好发表于 2022-6-3 20:07
BEST测试：鉴定为寄

反恶意软件拦截到命令行，但没用，文件已经被加密了

最后的狡辩（不是）：昨天才回的，新特征或者引擎可能一天写不完，可能得再等等

没准（无底气的语气）过几天就能Heuristic了

显示全部楼层 · 发表于 2022-6-3 20:29:54

本帖最后由企稳向好于 2022-6-3 20:31 编辑

huangzihang 发表于 2022-6-3 20:26
最后的狡辩（不是）：昨天才回的，新特征或者引擎可能一天写不完，可能得再等等没准（ ...

可以看出ATD是能检测到行为的，但是拦不全，这可能确实要做针对性的调整才行。
其实搞特征和启发可能反而快一点，你看国内毒霸的特征，已经通杀了几个版本的更新了

（虽然毒霸本地引擎不参与监控的谜之逻辑导致一旦双击也是一样的寄）

关键是看BD愿不愿意专门人工写个特征，我感觉他们现在已经快被自动机惯坏了

显示全部楼层 · 发表于 2022-6-3 22:14:51

试了试新版智量，效果确实不错

不仅能在Direct Syscall阶段拦截，即使只保留勒索防护也能拦截sihost.exe的加密行为

显示全部楼层 · 发表于 2022-6-3 23:30:42

诺顿已经md5拉黑

[病毒样本] #Magniber msi 1X (2022-06-03-03)