查看: 5519|回复: 8
收起左侧

[讨论] Sentry+APC的快速响应防护展示

[复制链接]
GreatMOLA
发表于 2024-1-11 12:21:08 | 显示全部楼层 |阅读模式
本帖最后由 GreatMOLA 于 2024-10-3 10:03 编辑

今天,我对之前的一个js样本进行了测试,Sentry对于Drop的初期快速响应加APC快速分类的效果着实惊掉了我的下巴。

对于一个恶意js样本,双击后,Sentry弹窗报Drop.Win64.APC.xxx,可以看到没有详细的分类。根据log得出为Sentry独立工作的结果,判断为Sentry基于APC的初期快速响应。



Log:
  1. [2024-01-11 11:53:04.319] [info] [EndpointProtection] [thread id: 4652] [SentryProtection] OnPreAlertCallback [Path = C:\Users\User1211\Desktop\legalCards.js ]
  2. [2024-01-11 11:53:04.510] [info] [EndpointProtection] [thread id: 14144] [SentryProtection] [Alert 7] Block SUCCESS [Path = C:\Users\User1211\Desktop\legalCards.js ]
复制代码
  1. 2024/01/11 11:48:23.155 | [PROC] ProcessCreated [PID = 13144 ] [Path = C:\Windows\System32\cscript.exe ] [PUNQ = 2138893726552 ] [PPID = 10632 ] [PPUNQ = 919123011976 ] [Cmd = "C:\Windows\System32\CScript.exe" "C:\Users\User1211\Desktop\legalCards.js"  ]
  2. 2024/01/11 11:48:23.177 | [PROC] ProcessCreated [PID = 13145 ] [Path = C:\Users\User1211\Desktop\legalCards.js ] [PUNQ = 2138893726553 ] [PPID = 13144 ] [PPUNQ = 2138893726552 ] [Cmd =  ]
  3. 2024/01/11 11:48:23.178 | [UNTRUSTED] FileInfo  [PID = 13144 ] [Path = C:\Windows\System32\cscript.exe ] [PPID = 10632 ] [PUNQ = 2138893726552 ]
  4.                           [i] [SHA256 = 588AE8F59371598E379DCDAFDC0E70C66492A1A998A37878A1626637AC1E1049 ]
  5.                           [i] DigitalSignature SIGNED in 16(ms)    (11:48:23.158)
  6.                           [i] KnapResult ALLOW in 0(ms)    (11:48:23.158)
  7.                           [i] CalculateFlags SUCCESS in 0(ms)    (11:48:23.158)
复制代码


在补救结束后,进入隔离区可以发现有了完整的分类。



根据Log判定为APC下发的威胁分类。

  1. 2024/01/11 11:52:58.099 | [i] [APC] Task result DETECTED [Path = C:\Users\User1211\Desktop\legalCards.js ] [SHA256 = C853D91501111A873A027BD3B9B4DAB9DD940E89FCFEC51EFBB6F0DB0BA6687B ] [Response = {"sha256": {"c853d91501111a873a027bd3b9b4dab9dd940e89fcfec51efbb6f0db0ba6687b": {"cat": 21, "status": "OK", "det_name": "JS/AVI.Agent.c853d9", "ttl": 3600, "known": false, "classification_type": "static", "times_requested": 1, "first_seen": 1704768350.907, "prevalence_band": 1, "is_installer": false}}}] in 6188(ms)
  2. 2024/01/11 11:52:58.099 | [i] Alert level is max [PID = 14161 ] [Path = C:\Users\User1211\Desktop\legalCards.js ]  [PUNQ = 1095216674641 ] [PPID = 14160 ]
  3. 2024/01/11 11:52:58.117 | [POL] Triggered  [PID = 14160] [Path = C:\Windows\System32\cscript.exe]  [PUNQ = 1095216674640] [PPID =  5176] AlertLevel=0 PolicyName=
  4. 2024/01/11 11:52:58.117 | [POL] Triggered  [PID = 14160] [Path = C:\Windows\System32\cscript.exe]  [PUNQ = 1095216674640] [PPID =  5176] AlertLevel=1 PolicyName=MiscFlags
  5. 2024/01/11 11:52:58.125 | [POL] Triggered  [PID = 14168] [Path = C:\Windows\System32\conhost.exe]  [PUNQ = 1099511641944] [PPID =  14160] AlertLevel=0 PolicyName=
  6. 2024/01/11 11:52:58.135 | [POL] Triggered  [PID = 14161] [Path = C:\Users\User1211\Desktop\legalCards.js]  [PUNQ = 1095216674641] [PPID =  14160] AlertLevel=0 PolicyName=
  7. 2024/01/11 11:52:58.135 | [i] [Alert = 7 ] Drop.Win64.APC.000 [PID = 14160 ] [Path = C:\Windows\System32\cscript.exe ] [PUNQ = 1095216674640 ] [PPID =  5176 ]
  8. 2024/01/11 11:52:58.140 | [i] [Alert = 7 ] [Quarantine] - Start -
  9. 2024/01/11 11:52:58.146 | [Alert 7] KNAPInformation is UNKNOWN in 0.00 [Path = C:\Users\User1211\Desktop\legalCards.js ]
复制代码


Avira的这套防御在近期有了很大的提升,结合我昨天的帖子,能发现这几次更新大大补强了其防御能力。

偶然装回Avira,居然给我了如此惊艳的感觉,以后可以考虑常驻测毒序列了。

附样本:

暂不提供。

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x

评分

参与人数 3经验 +60 人气 +3 收起 理由
白露为霜 + 60 版区有你更精彩: )
Allure361 + 2 感谢支持,欢迎常来: )
天狐狐狐 + 1 感谢提供分享

查看全部评分

hansyu
发表于 2024-1-11 14:37:30 | 显示全部楼层
看你在样本区测试DI,这字体怎么跟红伞一个德性,粗细宽度都不一致的,不会都用的日语汉字字体吧。
GreatMOLA
 楼主| 发表于 2024-1-11 14:41:26 | 显示全部楼层
hansyu 发表于 2024-1-11 14:37
看你在样本区测试DI,这字体怎么跟红伞一个德性,粗细宽度都不一致的,不会都用的日语汉字字体吧。

没有,是中文字体,只是这两家恰好都对中文字体不怎么兼容而已。
kuroandsan
发表于 2024-1-11 14:45:18 | 显示全部楼层
GreatMOLA 发表于 2024-1-11 14:41
没有,是中文字体,只是这两家恰好都对中文字体不怎么兼容而已。

可以用繁体中文,粗细是正常的。
夜莺算法
发表于 2024-1-31 13:55:19 | 显示全部楼层
小红伞有回滚吗
GreatMOLA
 楼主| 发表于 2024-1-31 14:42:53 | 显示全部楼层
wohaofan1200
发表于 2024-2-14 23:00:52 | 显示全部楼层

据坛子里的老师的消息是有的,把斗牛犬的回滚整合了进来
白露为霜
发表于 2024-10-2 22:47:31 | 显示全部楼层
请删除帖子中的病毒样本@GreatMOLA 样本可以发在样本区
arg10
发表于 2024-10-30 10:27:29 | 显示全部楼层
现在界面好多地方没法设置
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-12-21 23:58 , Processed in 0.128715 second(s), 19 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表