PsEmpire FileLess 25X

显示全部楼层 · 发表于 2023-9-2 12:02:31

本帖最后由 GreatMOLA 于 2023-9-2 12:04 编辑

Norton

07&08&09- ISB.Downloader!gen56

06：执行后AMSI杀。

10：编译时SONAR杀，同时触发特征。

显示全部楼层 · 发表于 2023-9-2 12:37:37

本帖最后由 hansyu 于 2023-9-2 12:40 编辑

McAfee 按照说明方式执行
全部被amsi扫描或rp-fileless阻止。

显示全部楼层 · 发表于 2023-9-2 16:13:21

显示全部楼层 · 发表于 2023-9-2 16:32:37

Elastic 全部阻止

显示全部楼层 · 发表于 2023-9-2 19:43:51

本帖最后由 Cel3mt 于 2023-9-2 21:36 编辑

CIS的反病毒模块把除了10以外的全部清空

1、如果是把10的执行代码保持成bat格式的文件在运行，被自动沙盒隔离，相关的联网动作防火墙弹窗。

2、如果在cmd窗口里执行代码，CIS没有反应。需要说明的是，好多年前在comodo论坛有人提过这个问题，官方给的答复是这种操作是人为手动进行的，不是由某个程序执行，所以不做处理。。。

显示全部楼层 · 发表于 2023-9-2 20:37:25

可怜的赤豹扫描5X

显示全部楼层 · 发表于 2023-9-3 03:16:57

本帖最后由 yexo 于 2023-9-3 03:23 编辑

神龟Turmi 发表于 2023-9-2 11:27
蛤？我不小心把01-05也放出来了？

你好，请问无文件攻击(包括结合BadUSB)的发起媒介除了cmd.exe, powershell.exe, wmic.exe, 还有其他的吗？另外，阻止regsvr32.exe, Rundll32.exe, dllhost.exe, MSBuild.exe的内存相关操作是否足够，还有其他需要注意的吗？谢谢了~

显示全部楼层 · 发表于 2023-9-3 03:22:32

Jirehlov1234 发表于 2023-9-2 09:30
KES

06 AMSI HEUR:Trojan.PowerShell.Generic

你好，请问那个wmic怎么卸载，直接删除exe文件吗？删除后没有遇到问题吗，对WMI和RPC的安全维护真的是无力吐槽，好想找到一些一劳永逸的方法。。。

显示全部楼层 · 发表于 2023-9-3 06:14:04

yexo 发表于 2023-9-2 19:22
你好，请问那个wmic怎么卸载，直接删除exe文件吗？删除后没有遇到问题吗，对WMI和RPC的安全维护真的是无 ...

设置-应用程序与功能-可选功能
wmic和ie一样可卸载的

显示全部楼层 · 发表于 2023-9-3 22:37:15

yexo 发表于 2023-9-3 03:16
你好，请问无文件攻击(包括结合BadUSB)的发起媒介除了cmd.exe, powershell.exe, wmic.exe, 还有其他的吗 ...

这样堵在我看来意义不大
做好完善的内存防护（比如内存内payload的检测以及IntelTDT的辅助）可能才是最优解

[病毒样本] PsEmpire FileLess 25X

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分