10x (2024-01-29, p.m.)

班德就是我

小红伞被收购了收集样本的能力强了很多，扫描加双击甚至不输给卡巴斯基

swizzer

user114514 发表于 2024-1-29 15:38
蜘蛛2x智量3x（跑完样本后我发现有什么东西一直在阻止智量运行，所以此结果可能不准确，别告诉我有东西跑出 ...

如果你是同时安装的Dr. Web和智量，那确实会干扰智量的运行。

以及我不建议实体机测试，除非你这台机器做过脱敏处理。

DisaPDB

swizzer 发表于 2024-1-29 16:24
如果你是同时安装的Dr. Web和智量，那确实会干扰智量的运行。

以及我不建议实体机测试，除非你这台机 ...

智量的驱动会被蜘蛛拦截吗

swizzer

DisaPDB 发表于 2024-1-29 16:38
智量的驱动会被蜘蛛拦截吗

别忘了user-mode hooking

DisaPDB

360ESC 扫描10x

UNknownOoo

user114514 发表于 2024-1-29 15:38
蜘蛛2x智量3x（跑完样本后我发现有什么东西一直在阻止智量运行，所以此结果可能不准确，别告诉我有东西跑出 ...

本地刚好有环境就补测下...（火绒被别人测哩qwq
智量
扫描：机学 2X

1. 2024-01-29 16:31:28 C:\Users\Administrator\Desktop\240129-2\4627c391.exe                                                Heur.ML.PE.B      
   
2. 2024-01-29 16:31:28 C:\Users\Administrator\Desktop\240129-2\24bb4fc1.exe                                                Heur.ML.PE.A      

复制代码

运行：
三个vbs好像C2寄了（？


63a69acc.exe -> WIBD:HEUR.ShellCode.C

b5fb7215.exe -> 主防捉衍生物

1. 2024-01-29 16:42:33 C:\ProgramData\SystemPropertiesDataExecutionPrevention\.exe                                         WIBD:HEUR.MalBehavior.F0
   
2. 2024-01-29 16:42:31 C:\Users\Administrator\AppData\Local\Temp\tmp927E.tmp.bat                                           WIBD:HEUR.MalBehavior.F0

复制代码

c8136752.exe -> WIBD:HEUR.ShellCode.C

decfb2ac.exe -> WIBD:HEUR.BypassAV.C0

decfb2ac.exe -> 机学捉衍生物

1. 2024-01-29 16:45:36 C:\Users\Administrator\AppData\Local\Free MP3 Cutter Joiner\FreeMP3CutterJoiner.exe                 Heur.ML.PE.A        

复制代码

swizzer

UNknownOoo 发表于 2024-1-29 16:50
本地刚好有环境就补测下...（火绒被别人测哩qwq
智量
扫描：机学 2X

ShellCode报法才是正常的智量啊（

user114514

DisaPDB 发表于 2024-1-29 16:38
智量的驱动会被蜘蛛拦截吗

我有加排除

user114514

swizzer 发表于 2024-1-29 16:24
如果你是同时安装的Dr. Web和智量，那确实会干扰智量的运行。

以及我不建议实体机测试，除非你这台机 ...

我有加排除，而且蜘蛛没装那一开就蓝屏的防火墙，所以不会有啥兼容性问题

swizzer

user114514 发表于 2024-1-29 17:00
我有加排除，而且蜘蛛没装那一开就蓝屏的防火墙，所以不会有啥兼容性问题

你把兼容性想的太简单了。
添加排除了，安软该有的hooking也是一样不少的(除非Sentinel那种写明了减少hooking的)。排除解决不了hooking导致的冲突。