Magniber（2）

rogersg

kuroandsan 发表于 2022-6-30 09:27
好像过卡巴主防了

是单纯没回滚还是说SW一点反应都没有呢？我这边6.27的库锁库双击好像是可以拦的

Shake2333

eset kill

kuroandsan

rogersg 发表于 2022-6-30 10:03
是单纯没回滚还是说SW一点反应都没有呢？我这边6.27的库锁库双击好像是可以拦的

刚刚SW一点反应都没有，现在PDM杀了。好怪哦

rogersg

kuroandsan 发表于 2022-6-30 10:05
刚刚SW一点反应都没有，现在PDM杀了。好怪哦

那看起来主防还是有玄学因素的。。。不是100%稳定

anthonyqian

kuroandsan 发表于 2022-6-30 10:05
刚刚SW一点反应都没有，现在PDM杀了。好怪哦

好奇被加密那么多了，文件有回滚吗

rogersg

Hello,

This file is already detected by our internal bases:
MS.Upgrade.Database.Cloud.msi_ - HEUR:Trojan.OLE2.Alien.gen
Detection will be included in the next update.

光速回复，但是这个检测名怎么那么奇怪？

kuroandsan

anthonyqian 发表于 2022-6-30 10:12
好奇被加密那么多了，文件有回滚吗

我第一次双击是直到勒索信出来，SW都没反应。

等了一段时间还原快照后，第二次双击PDM杀并回滚文件

00006666

双击

1. 时间        操作        说明        次数
   
2. 2022-06-30 10:11:36        [已阻止]          远程线程注入        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\Windows\System32\msiexec.exe
   
5. 动作：远程线程注入
   
6. 路径：C:\Windows\System32\sihost.exe
   
7. 风险文件：C:\Windows\System32\msiexec.exe
   
8. 防护信息: AD|40, 40, -1||
   

复制代码

1. 时间        操作        说明        次数
   
2. 2022-06-30 10:11:46        [已阻止]          远程线程注入        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\Windows\System32\msiexec.exe
   
5. 动作：远程线程注入
   
6. 路径：C:\Windows\System32\svchost.exe
   
7. 风险文件：C:\Windows\System32\msiexec.exe
   
8. 防护信息: AD|40, 40, -1||
   

复制代码

1. 时间        操作        说明        次数
   
2. 2022-06-30 10:11:46        [自动处理]          结束进程        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\Windows\System32\msiexec.exe 13E5846A
   

复制代码

anthonyqian

kuroandsan 发表于 2022-6-30 10:14
我第一次双击是直到勒索信出来，SW都没反应。

等了一段时间还原快照后双击PDM杀并回滚文件

看起来不是测试环境的问题，单纯是SW不稳定造成的。昨天也有人用影子卫士测试发现SW不能回滚了。

Jirehlov1234

rogersg 发表于 2022-6-30 02:12
光速回复，但是这个检测名怎么那么奇怪？

OLE2是报的msi（ole2对象）
Alien是卡巴对一大类（不能分类的但不能归类到agent和agentb的？）统称