TrojanDownloader 2X

显示全部楼层 · 发表于 2022-6-22 12:46:52

00006666 发表于 2022-6-22 12:44
@swizzer 这种图片隐写，下载图片解密样本的，感觉智量应该能增加主防对于这个行为本身的拦截，现在主防拦 ...

解密过程本身一般不调用系统API，，主防识别起来会不会有困难？

显示全部楼层 · 发表于 2022-6-22 12:52:12

Mcafee 扫描、双击均miss

显示全部楼层 · 发表于 2022-6-22 12:52:47

swizzer 发表于 2022-6-22 12:46
解密过程本身一般不调用系统API，，主防识别起来会不会有困难？

可能有办法拦截，昨天的那个也是这种，应该是一种图片隐写的方法https://bbs.kafan.cn/thread-2237718-1-1.html

显示全部楼层 · 发表于 2022-6-22 13:16:04

本帖最后由 swizzer 于 2022-6-22 13:21 编辑

00006666 发表于 2022-6-22 12:52
可能有办法拦截，昨天的那个也是这种，应该是一种图片隐写的方法https://bbs.kafan.cn/thread-2237718-1- ...

流量扫描隐写的图片或许有的一试，主防想识别内存解密行为还是有很大的局限性的，毕竟对内存数据进行操作一般不会调用系统API，目前市面上大部分主防能获取的信息少之又少；另一方面，如果要监视进程对内存数据的操作，带来的性能拖累也有待商榷。

市面上已有的解决方案是从内存分配方式入手识别可疑的内存解密行为，比如HMPA的HeapHeapProtect，但是识别范围也很有限

比起这个，我更希望智量对他们的NIDS加强一下，直接从流量特征上识别诸如CS,RedLine一类的样本

显示全部楼层 · 发表于 2022-6-22 13:26:54

swizzer 发表于 2022-6-22 13:16
流量扫描隐写的图片或许有的一试，主防想识别内存解密行为还是有很大的局限性的，毕竟对内存数据进行操作 ...

现在有很多CS的流量都带证书加密，除非用中间人攻击，不然流量检测没有作用的……

不过大多数厂家都比较擅长用单独的硬件来做流量检测，客户端软件做这个其实还比较少

显示全部楼层 · 发表于 2022-6-22 14:20:19

360：0

这两个也很厉害，我以为是文件夹差点就点开了！

显示全部楼层 · 发表于 2022-6-22 14:38:11

ESET&ELG miss
费尔双击后触发动态防御kill

显示全部楼层 · 发表于 2022-6-22 15:40:52

智量
扫描：trojan.generic 2x
双击：WIBD:HEUR.MalBehavior.B 2x

显示全部楼层 · 发表于 2022-6-23 15:11:04

病毒的链接已经失效了

[病毒样本] TrojanDownloader 2X

评分

本帖子中包含更多资源

本帖子中包含更多资源