解锁火绒主防恶意行为监控新报法

显示全部楼层 · 发表于 2022-6-16 13:41:41

wwwab 发表于 2022-6-16 13:40
TrID Windows Control Panel Item (generic) (90.1%)
TrID Win64 Executable (generic) (4.8%)
TrID Wi ...

前面说了，是举个例子，CS这种东西做静态免杀非常容易，要想运行起来不被查杀就有难度了。

显示全部楼层 · 发表于 2022-6-16 13:43:49

swizzer 发表于 2022-6-16 13:41
静态免杀不是什么神秘学···一个简单的分离免杀就能干掉不少静态特征了，更不用说CS这种ShellCode加载 ...

好好奇火绒的注入拦截规则是啥

很多注入命中的概率并不大，而且主防还是直接kill的

显示全部楼层 · 发表于 2022-6-16 14:35:43

话说，智量是不是不会拦截或者报毒注入的行为？（我咋还没有见到过）@swizzer

显示全部楼层 · 发表于 2022-6-16 14:37:20

wwwab 发表于 2022-6-16 14:35
话说，智量是不是不会拦截或者报毒注入的行为？（我咋还没有见到过）@swizzer

真没见到还是根本不认真看帖呢
Injector这个单词你应该认识的啊

https://bbs.kafan.cn/forum.php?m ... 700&fromuid=1068458

显示全部楼层 · 发表于 2022-6-16 14:38:06

swizzer 发表于 2022-6-16 14:37
真没见到还是根本不认真看帖呢
Injector这个单词你应该认识的啊

哦豁

显示全部楼层 · 发表于 2022-6-16 14:54:21

wwwab 发表于 2022-6-16 05:40
TrID Windows Control Panel Item (generic) (90.1%)
TrID Win64 Executable (generic) (4.8%)
TrID Wi ...

冷知识，有段时间emotet的metadata也是
TODO: (C) <公司名>。保留所有权利。
这种的，但显然emotet不是国人写的

显示全部楼层 · 发表于 2022-6-16 15:24:30

swizzer 发表于 2022-6-16 13:41
静态免杀不是什么神秘学···一个简单的分离免杀就能干掉不少静态特征了，更不用说CS这种ShellCode加载 ...

学雷锋大学忙了之后就不来了@学雷锋做人

显示全部楼层 · 发表于 2022-6-16 15:35:56

pal家族发表于 2022-6-16 15:24
学雷锋大学忙了之后就不来了@学雷锋做人

感觉有两三年没见到他了...
~~最后一次见到他还是看他和智量官方battle~~

显示全部楼层 · 发表于 2022-6-16 17:57:35

不是新规则，很久以前的版本就有了

显示全部楼层 · 发表于 2022-6-17 00:41:20

本帖最后由欧阳宣于 2022-6-17 10:30 编辑

又发现新大陆了？
这种“我没见到过就是不存在”的逻辑真的是很可怕也很让我惊讶。。

[讨论] 解锁火绒主防恶意行为监控新报法