试着用ChatGPT辅助编写一个用邮件传输指令的木马，看看杀毒软件们表现怎么样。

显示全部楼层 · 发表于 2023-8-30 21:32:32

swizzer 发表于 2023-8-30 18:05
怪，我印象里ATC对持久化操作的打分权重蛮高的啊

这次重测后，在连续做持久化时会杀了

显示全部楼层 · 发表于 2023-8-30 21:52:35

asnjj 发表于 2023-8-30 21:32
这次重测后，在连续做持久化时会杀了

那一开始就加自启动，等下一次自启动再做别的行为，打分是否会被绕过？

显示全部楼层 · 发表于 2023-8-30 21:53:07

asnjj 发表于 2023-8-30 21:32
这次重测后，在连续做持久化时会杀了

这里的"连续做持久化"，指的是窃取文件后接着写入启动项吗

显示全部楼层 · 发表于 2023-8-30 23:01:40

本帖最后由 asnjj 于 2023-8-31 13:41 编辑

swizzer 发表于 2023-8-30 21:53
这里的"连续做持久化"，指的是窃取文件后接着写入启动项吗

我刚可能说得不太严谨，其实我也不确定是“连续做持久化” 还是“连续做可疑操作（包括前面的窃取文件）”引起的。

刚看回录像，简单说一下过程

按照表格里的测试流程，从一开始的双击自解压一路走到持久化的部分，
添加启动项，没有拦截
然后走到下一步：篡改WPS自启动文件，ATC就杀木马本体了。但是此时WPS自启动文件已经被篡改了

把自解压再次拉进虚拟机双击：没有拦截，
继续下一步：篡改Onedrive自启文件：没有拦截；
篡改WPS桌面图标：没有拦截；
手动把WPS自启动文件换成别的再让木马重新篡改一次：没有拦截。

对了，除了表格里列明的操作外，木马在检测到用户在操作微信时，还会持续地截图，正常测试流程中我也会故意操作微信让木马截图，这个机制也可能引起ATC的警惕。

显示全部楼层 · 发表于 2023-9-2 22:01:28

怎么来通过

显示全部楼层 · 发表于 2023-9-10 23:00:30

2023/9/10长期潜伏测试结果更新：第2版样本在装有360安全卫士极速版的主力机上潜伏了约9天后被360查杀（HEUR\QVM）

显示全部楼层 · 发表于 2023-9-11 10:43:26

asnjj 发表于 2023-9-10 23:00
2023/9/10长期潜伏测试结果更新：第2版样本在装有360安全卫士极速版的主力机上潜伏了约9天后被360查杀（HEU ...

文件已经被偷光了

显示全部楼层 · 发表于 2023-9-11 11:34:40

神龟Turmi 发表于 2023-8-26 21:17
实时进度update：
CrowdStrike（无EDR，EPP拉满）：完美MISS 所有步骤畅通无阻
Cylance（EDR不计入，EPP ...

无EDR是指安装后直接去后台删除那台电脑？

显示全部楼层 · 发表于 2023-9-11 12:44:24

384也7492374 发表于 2023-9-11 10:43
文件已经被偷光了

这种极小范围内传播的样本，能杀就不错了

显示全部楼层 · 发表于 2023-9-11 12:59:44

枣泥奶卷发表于 2023-9-11 12:44
这种极小范围内传播的样本，能杀就不错了

如果这是cs就已经建立c2了

[讨论] 试着用ChatGPT辅助编写一个用邮件传输指令的木马，看看杀毒软件们表现怎么样。

评分