Magniber

显示全部楼层 · 发表于 2022-7-2 11:51:14

anthonyqian 发表于 2022-7-2 11:44
目前样本区的Magniber，火绒的特征一次都没过掉过。。。

火绒是解包查杀里面的TMP，然后把整个MSI一起清除

显示全部楼层 · 发表于 2022-7-2 11:58:43

anthonyqian 发表于 2022-7-2 11:44
目前样本区的Magniber，火绒的特征一次都没过掉过。。。

没针对把，Magniber作者也不知道火绒是啥，VT上也没火绒引擎

显示全部楼层 · 发表于 2022-7-2 12:02:18

lvseqiji 发表于 2022-7-2 11:58
没针对把，Magniber作者也不知道火绒是啥，VT上也没火绒引擎

感觉它们可能有研究过360，现在这几个版本上传云鉴定每次都是暂无风险........

360在虚拟机默认不开核晶，作者可能测试后认为成功bypass

显示全部楼层 · 发表于 2022-7-2 12:05:00

00006666 发表于 2022-7-2 11:51
火绒是解包查杀里面的TMP，然后把整个MSI一起清除

这是对的

显示全部楼层 · 发表于 2022-7-2 12:06:50

lvseqiji 发表于 2022-7-2 11:58
没针对把，Magniber作者也不知道火绒是啥，VT上也没火绒引擎

国产杀软在VT上的引擎不多。。。活跃于东亚的勒索，作者不可能不认识火绒的

显示全部楼层 · 发表于 2022-7-2 12:08:49

a27573 发表于 2022-7-2 11:12
好家伙，特征又被过了
真是锲而不舍
@ICzcz

Dear ICzcz,

Thank you for your submission.
The detection for this threat will be included in the next update of detection engine, expected version: 25530.

MS.Upgrade.Database.Cloud (1).msi - Win64/Filecoder.Magniber.B trojan
MS.Upgrade.Database.Cloud.msi.vir - Win64/Filecoder.Magniber.B trojan

Regards,

ESET Malware Response Team

光速回复

显示全部楼层 · 发表于 2022-7-2 12:09:30

ICzcz 发表于 2022-7-2 12:08
光速回复

竟然不是 IK

看来是手动上报的缘故

显示全部楼层 · 发表于 2022-7-2 12:11:22

a27573 发表于 2022-7-2 12:09
竟然不是 IK
看来是手动上报的缘故

手动上报检测名都会被改为Win64/Filecoder.Magniber.B trojan

不过估计是扫描的时候会变为IK

显示全部楼层 · 发表于 2022-7-2 12:14:36

本帖最后由 a27573 于 2022-7-2 12:16 编辑

00006666 发表于 2022-7-2 12:02
感觉它们可能有研究过360，现在这几个版本上传云鉴定每次都是暂无风险........

360在虚拟机默认不开核 ...

据我了解，大部分用360的人都不开晶核

很多比较老的电脑（新的不清楚） VT默认是关闭的，大多数人也不会开 VT
最重要的是，他们也不会花时间去了解怎么开

恶意软件作者追求的是利益，不是一定要在技术上打败某个安软

显示全部楼层 · 发表于 2022-7-2 12:14:53

a27573 发表于 2022-7-2 04:09
竟然不是 IK
看来是手动上报的缘故

这个报的是msi吧，injector是报的dll，等更新后看看dll报的啥@ICzcz

[病毒样本] Magniber

评分

评分