Sentry+APC的快速响应防护展示

GreatMOLA

今天，我对之前的一个js样本进行了测试，Sentry对于Drop的初期快速响应加APC快速分类的效果着实惊掉了我的下巴。

对于一个恶意js样本，双击后，Sentry弹窗报Drop.Win64.APC.xxx，可以看到没有详细的分类。根据log得出为Sentry独立工作的结果，判断为Sentry基于APC的初期快速响应。



Log:

1. [2024-01-11 11:53:04.319] [info] [EndpointProtection] [thread id: 4652] [SentryProtection] OnPreAlertCallback [Path = C:\Users\User1211\Desktop\legalCards.js ]
   
2. [2024-01-11 11:53:04.510] [info] [EndpointProtection] [thread id: 14144] [SentryProtection] [Alert 7] Block SUCCESS [Path = C:\Users\User1211\Desktop\legalCards.js ]

复制代码

1. 2024/01/11 11:48:23.155 | [PROC] ProcessCreated [PID = 13144 ] [Path = C:\Windows\System32\cscript.exe ] [PUNQ = 2138893726552 ] [PPID = 10632 ] [PPUNQ = 919123011976 ] [Cmd = "C:\Windows\System32\CScript.exe" "C:\Users\User1211\Desktop\legalCards.js"  ]
   
2. 2024/01/11 11:48:23.177 | [PROC] ProcessCreated [PID = 13145 ] [Path = C:\Users\User1211\Desktop\legalCards.js ] [PUNQ = 2138893726553 ] [PPID = 13144 ] [PPUNQ = 2138893726552 ] [Cmd =  ]
   
3. 2024/01/11 11:48:23.178 | [UNTRUSTED] FileInfo  [PID = 13144 ] [Path = C:\Windows\System32\cscript.exe ] [PPID = 10632 ] [PUNQ = 2138893726552 ]
   
4.                           [i] [SHA256 = 588AE8F59371598E379DCDAFDC0E70C66492A1A998A37878A1626637AC1E1049 ]
   
5.                           [i] DigitalSignature SIGNED in 16(ms)    (11:48:23.158)
   
6.                           [i] KnapResult ALLOW in 0(ms)    (11:48:23.158)
   
7.                           [i] CalculateFlags SUCCESS in 0(ms)    (11:48:23.158)

复制代码

在补救结束后，进入隔离区可以发现有了完整的分类。



根据Log判定为APC下发的威胁分类。

1. 2024/01/11 11:52:58.099 | [i] [APC] Task result DETECTED [Path = C:\Users\User1211\Desktop\legalCards.js ] [SHA256 = C853D91501111A873A027BD3B9B4DAB9DD940E89FCFEC51EFBB6F0DB0BA6687B ] [Response = {"sha256": {"c853d91501111a873a027bd3b9b4dab9dd940e89fcfec51efbb6f0db0ba6687b": {"cat": 21, "status": "OK", "det_name": "JS/AVI.Agent.c853d9", "ttl": 3600, "known": false, "classification_type": "static", "times_requested": 1, "first_seen": 1704768350.907, "prevalence_band": 1, "is_installer": false}}}] in 6188(ms)
   
2. 2024/01/11 11:52:58.099 | [i] Alert level is max [PID = 14161 ] [Path = C:\Users\User1211\Desktop\legalCards.js ]  [PUNQ = 1095216674641 ] [PPID = 14160 ]
   
3. 2024/01/11 11:52:58.117 | [POL] Triggered  [PID = 14160] [Path = C:\Windows\System32\cscript.exe]  [PUNQ = 1095216674640] [PPID =  5176] AlertLevel=0 PolicyName=
   
4. 2024/01/11 11:52:58.117 | [POL] Triggered  [PID = 14160] [Path = C:\Windows\System32\cscript.exe]  [PUNQ = 1095216674640] [PPID =  5176] AlertLevel=1 PolicyName=MiscFlags
   
5. 2024/01/11 11:52:58.125 | [POL] Triggered  [PID = 14168] [Path = C:\Windows\System32\conhost.exe]  [PUNQ = 1099511641944] [PPID =  14160] AlertLevel=0 PolicyName=
   
6. 2024/01/11 11:52:58.135 | [POL] Triggered  [PID = 14161] [Path = C:\Users\User1211\Desktop\legalCards.js]  [PUNQ = 1095216674641] [PPID =  14160] AlertLevel=0 PolicyName=
   
7. 2024/01/11 11:52:58.135 | [i] [Alert = 7 ] Drop.Win64.APC.000 [PID = 14160 ] [Path = C:\Windows\System32\cscript.exe ] [PUNQ = 1095216674640 ] [PPID =  5176 ]
   
8. 2024/01/11 11:52:58.140 | [i] [Alert = 7 ] [Quarantine] - Start -
   
9. 2024/01/11 11:52:58.146 | [Alert 7] KNAPInformation is UNKNOWN in 0.00 [Path = C:\Users\User1211\Desktop\legalCards.js ]

复制代码

Avira的这套防御在近期有了很大的提升，结合我昨天的帖子，能发现这几次更新大大补强了其防御能力。

偶然装回Avira，居然给我了如此惊艳的感觉，以后可以考虑常驻测毒序列了。

附样本：

hansyu

看你在样本区测试DI，这字体怎么跟红伞一个德性，粗细宽度都不一致的，不会都用的日语汉字字体吧。

GreatMOLA

hansyu 发表于 2024-1-11 14:37
看你在样本区测试DI，这字体怎么跟红伞一个德性，粗细宽度都不一致的，不会都用的日语汉字字体吧。

没有，是中文字体，只是这两家恰好都对中文字体不怎么兼容而已。

kuroandsan

GreatMOLA 发表于 2024-1-11 14:41
没有，是中文字体，只是这两家恰好都对中文字体不怎么兼容而已。

可以用繁体中文，粗细是正常的。

夜莺算法

小红伞有回滚吗

GreatMOLA

夜莺算法 发表于 2024-1-31 13:55
小红伞有回滚吗

可参考https://bbs.kafan.cn/thread-2257150-1-1.html

wohaofan1200

夜莺算法 发表于 2024-1-31 13:55
小红伞有回滚吗

据坛子里的老师的消息是有的，把斗牛犬的回滚整合了进来