DiskWriter

显示全部楼层 · 发表于 2022-6-7 12:04:56

发呆的阿狸~ 发表于 2022-6-7 12:00
我突然感觉emsi的bb也许能够防御此类勒索不知道有人测试没

想太多，不能。最多拦下事后的动作。
这个注入动作目前只有智量和核晶360可以抓住
Emsisoft的BB现在也不算最牛逼的一档了

显示全部楼层 · 发表于 2022-6-7 12:06:50

lvseqiji 发表于 2022-6-7 12:04
想太多，不能。最多拦下事后的动作。
这个注入动作目前只有智量和核晶360可以抓住
Emsisoft的BB现在也 ...

因为我用emsi那段时间给我的感觉就像360的单步主防一样有时候需要用户自己判断,所以我猜测是能够拦截加密这一步

显示全部楼层 · 发表于 2022-6-7 12:09:20

发呆的阿狸~ 发表于 2022-6-7 12:06
因为我用emsi那段时间给我的感觉就像360的单步主防一样有时候需要用户自己判断,所以我猜测是能够拦截加密 ...

确实是单步的，和360一样会请求云端。但是拦不住Direct syscall实现的注入。

显示全部楼层 · 发表于 2022-6-7 12:10:32

lvseqiji 发表于 2022-6-7 12:09
确实是单步的，和360一样会请求云端。但是拦不住Direct syscall实现的注入。

说起system call我记得HMPA好像可以拦截此类行为不过误报比较高.

显示全部楼层 · 发表于 2022-6-7 12:13:39

发呆的阿狸~ 发表于 2022-6-7 12:10
说起system call我记得HMPA好像可以拦截此类行为不过误报比较高.

同云结合就可以降低误报了，不过用direct syscall去注入系统进程这种事情本身就很可疑了，大部分程序不会有这种行为。

显示全部楼层 · 发表于 2022-6-7 12:15:43

lvseqiji 发表于 2022-6-7 12:13
同云结合就可以降低误报了，不过用direct syscall去注入系统进程这种事情本身就很可疑了，大部分程序不会 ...

可惜能检测到syscall的行为的AV实在少欸

又或是检测到危险行为但是恶意payload已经被注入到内存中去了

显示全部楼层 · 发表于 2022-6-7 14:42:39

Kingbatsoft 发表于 2022-6-6 22:09
ESET解压杀 Suspicious
火绒扫描miss，开引导扇区保护一样寄
360扫描miss，貌似开核晶也寄了？？

火绒开了引导区保护是需要重启两次才生效的...

显示全部楼层 · 发表于 2022-6-7 22:28:13

vm001 发表于 2022-6-7 14:42
火绒开了引导区保护是需要重启两次才生效的...

感谢解答，我不知道就重启了一次...

显示全部楼层 · 发表于 2022-6-7 22:40:24

huangzihang 发表于 2022-6-7 00:04
mbrkiller的特征我感觉云很靠谱这玩意根本没变种，三行代码，所谓变种也就是加了个壳，改个md5删几 ...

真想免杀也可以搞出很多变化的

显示全部楼层 · 发表于 2022-6-7 22:43:49

huangzihang 发表于 2022-6-7 00:46
（猜的）主防方面，ATD能拦截那个r什么32的注入没理由不能拦截msi，再说启发，智量金山都能做出通杀特征 ...

也有一种可能，BD 内部最近有巨大变动，比如资金问题，人事调动，全力投入某个方面之类的

之前 ESET 分析多次翻车就有可能与团队负责人离职有关

[病毒样本] DiskWriter