CyberCapture是不会阻止运行吗？

显示全部楼层 · 发表于 2023-8-6 12:51:57

最近测试样本时发现，CyberCapture弹窗要我等待时，样本已经跑起来了。。。

这是什么个意思，还是这个功能就是这样的？

显示全部楼层 · 发表于 2023-8-6 13:21:14

就算跑起来，也是进了沙盒的好像

显示全部楼层 · 发表于 2023-8-6 16:03:22

进了沙盒的。

显示全部楼层 · 发表于 2023-8-6 17:19:41

CC是扔进沙箱里跑行为
在CC分析期间没出现什么异常行为就过（然后程序会被重启到真实系统）如果产生了异常行为就杀进程
所以经常能看到一些通过sleep来过CC的操作
可能CC有和云沙箱一样跳过sleep的功能，但是从实战来看这样过掉的并不少
还有一种情况，比如我测试第四期的4/5号样本，这两个有一个C++加载器，需要按下回车才会把shellcode写入内存
如果我测试Avast时在CC沙箱里不按回车，那么过几十秒CC就会判定为安全并且放行（但是最终还是会被IDP干掉就是了）

[讨论] CyberCapture是不会阻止运行吗？