Magniber 6.28 ②

显示全部楼层 · 发表于 2022-6-29 10:39:54

Jirehlov1234 发表于 2022-6-29 10:38
影子会干扰主防正常工作的，尤其是magniber这类ntAPI call的。
能实机就实机，不然就虚拟机，不要使用各 ...

测勒索用实机？

显示全部楼层 · 发表于 2022-6-29 10:40:04

Jirehlov1234 发表于 2022-6-29 10:38
影子会干扰主防正常工作的，尤其是magniber这类ntAPI call的。
能实机就实机，不然就虚拟机，不要使用各 ...

原来是这样...
（能实机就实机是认真的吗

）

显示全部楼层 · 发表于 2022-6-29 10:54:16

本帖最后由 lvseqiji 于 2022-6-29 10:57 编辑

huangzihang 发表于 2022-6-29 10:40
原来是这样...
（能实机就实机是认真的吗）

用虚拟机就行了，开vt虚拟化，基本上和实际一样了，如果没反虚拟机的话

另外不要用影子系统，这种东西就是hack，被针对就会漏，花式漏，还有一堆兼容性问题，现在这类产品式微没人用就是因为太搓了，硬件虚拟化存在的情况下没一点优势。

显示全部楼层 · 发表于 2022-6-29 11:41:14

Dr Web扫描miss，双击显示警告
29/06/2022 04:36 Exploit Prevention Unauthorized code execution blocked PID: 9164 Process: C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe Reason: Attempt to access a system module
然后开始报错未找到vbe文件，无文件加密，无勒索信

显示全部楼层 · 发表于 2022-6-29 11:48:44

zfc234 发表于 2022-6-29 11:41
Dr Web扫描miss，双击显示警告
29/06/2022 04:36 Exploit Prevention Unauthorized code execution blocke ...

多试几次，可能是Drweb检测到注入了，拦了就没后文了

显示全部楼层 · 发表于 2022-6-29 12:19:54

lvseqiji 发表于 2022-6-29 11:48
多试几次，可能是Drweb检测到注入了，拦了就没后文了

嗯这个样本我大概双击了6次，无事发生

显示全部楼层 · 发表于 2022-6-29 13:03:41

zfc234 发表于 2022-6-29 12:19
嗯这个样本我大概双击了6次，无事发生

那还行啊，正式版吗，我之前测试蜘蛛拦不住这种direct syscall实现的注入。竟然现在拦住了。

显示全部楼层 · 发表于 2022-6-29 23:59:39

lvseqiji 发表于 2022-6-29 13:03
那还行啊，正式版吗，我之前测试蜘蛛拦不住这种direct syscall实现的注入。竟然现在拦住了。

beta version

显示全部楼层 · 发表于 2022-7-3 01:27:19

Ahnlab V3 Lite Kill

显示全部楼层 · 发表于 2022-7-6 18:33:46

防护检测到威胁。文件已被隔离。C:\Users\83722\Downloads\MS.Upgrade.Database.Cloud\MS.Upgrade.Database.Cloud.msi 是恶意软件 Trojan.GenericKD.50551377

[病毒样本] Magniber 6.28 ②

浏览过的版块