FakeAPP 1X

显示全部楼层 · 发表于 2023-9-14 14:10:56

swizzer 发表于 2023-9-14 12:12
策略里开了吗

果然，没想到回滚居然默认不开

显示全部楼层 · 发表于 2023-9-14 18:34:24

訪問内存被截獲

显示全部楼层 · 发表于 2023-9-14 18:42:07

761773275 发表于 2023-9-14 18:34
訪問内存被截獲

正常的msi包安装的时候大概也是要访问explorer.exe的内存的

显示全部楼层 · 发表于 2023-9-14 18:43:01

swizzer 发表于 2023-9-14 18:42
正常的msi包安装的时候大概也是要访问explorer.exe的内存的

寫入才是惡意嗎

显示全部楼层 · 发表于 2023-9-14 18:48:34

761773275 发表于 2023-9-14 18:43
寫入才是惡意嗎

我不记得毛豆对写入内存的提示是否跟访问内存一样了；如果读取内存算作访问内存，那自然不能直接认为是恶意的。但是我记得就算是正常的安装流程，毛豆也是会提示访问explorer内存的。

~~更不用说这个样本根本没有注入explorer~~

显示全部楼层 · 发表于 2023-9-14 22:57:50

显示全部楼层 · 发表于 2023-9-15 17:42:12

金山毒霸miss

[病毒样本] FakeAPP 1X