再来感染样本9x，校验下杀毒软件结果

显示全部楼层 · 发表于 2023-3-30 16:45:32

wowocock 发表于 2023-3-30 16:39
刚才看下下火绒修复的，他们修复的有问题。对有附加数据的文件需要把附加数据挪回去，火绒只是恢复入口代码 ...

@火绒工程师看下层主的意见另外贵论坛（火绒论坛）已有疑似误报了尽快跟进下谢谢！

显示全部楼层 · 发表于 2023-3-30 17:06:35

wowocock 发表于 2023-3-30 14:09
替换急救箱AVE目录下的360ave.def 然后用急救箱扫描即可处理。

大佬，什么原理啊，咋么样能自己编辑这个def文件吗？

显示全部楼层 · 发表于 2023-3-30 17:31:00

本帖最后由 mozhiwei 于 2023-4-4 16:49 编辑

金山毒霸kill all

显示全部楼层 · 发表于 2023-3-30 17:46:17

wowocock 发表于 2023-3-30 16:39
刚才看下下火绒修复的，他们修复的有问题。对有附加数据的文件需要把附加数据挪回去，火绒只是恢复入口代码 ...

我看了下急救箱的清除效果，其实就多了一个把感染代码数据删除的操作，火绒是把感染代码数据填0处理。而且急救箱在处理附加数据的时候，是不是有点问题，本来是附加数据结果被并入了到最后一个区段去了。。。我感觉文件出现运行问题的概率更大。急救箱入口点修复的也有些问题，病毒感染的字节长度并不是固定5字节

显示全部楼层 · 发表于 2023-3-30 17:53:58

ruuss 发表于 2023-3-30 17:46
我看了下急救箱的清除效果，其实就多了一个把感染代码数据删除的操作，火绒是把感染代码数据填0处理。而 ...

可以提供下修复出问题的样本，我们看看。

显示全部楼层 · 发表于 2023-3-30 18:00:47

wowocock 发表于 2023-3-30 17:53
可以提供下修复出问题的样本，我们看看。

就楼主提供的样本里，你找个带签名的，然后急救箱清理后用die看下是不是签名数据被并入最后一个区段了

显示全部楼层 · 发表于 2023-3-30 18:07:01

ruuss 发表于 2023-3-30 18:00
就楼主提供的样本里，你找个带签名的，然后急救箱清理后用die看下是不是签名数据被并入最后一个区段了

带签名的可能没法恢复到原来的样子，签名会显示无效。毕竟无法同原来一样。功能没影响即可。最后一个节被病毒扩大，需要删除病毒代码，这样最后一个节就变小了，然后矫正PE结构，节表里面最后一个节无法恢复到原始值，所以签名一定是显示损坏，但是签名还在。

显示全部楼层 · 发表于 2023-3-30 18:13:03

wowocock 发表于 2023-3-30 18:07
带签名的可能没法恢复到原来的样子，签名会显示无效。毕竟无法同原来一样。功能没影响即可。最后一个节被 ...

你没理解我的意思，现在急救箱修复后，原本在Overlay中的数据现在被并入到最后一个区段里了。如果样本的附加数据不是签名，而是有用的数据，当程序需要读取附加数据时，那修复后运行就会有问题，因为找不到附加数据了

显示全部楼层 · 发表于 2023-3-30 18:20:51

ruuss 发表于 2023-3-30 18:13
你没理解我的意思，现在急救箱修复后，原本在Overlay中的数据现在被并入到最后一个区段里了。如果样本的 ...

光扯，说不清，提供个样本你所说的样本给我们看看吧。

显示全部楼层 · 发表于 2023-3-30 18:25:53

wowocock 发表于 2023-3-30 18:20
光扯，说不清，提供个样本你所说的样本给我们看看吧。

不是说了吗，你找个楼主样本里带附加数据的清理下，自己仔细看下是不是清的有问题。你要觉得清的没错，那你说的对

[病毒样本] 再来感染样本9x，校验下杀毒软件结果