复习卷

显示全部楼层 · 发表于 2024-2-4 21:16:30

Yjln 发表于 2024-2-4 20:56
我的是假卡巴，进程直接被杀了

他是用的卡巴组合键强制调用主防来杀的

显示全部楼层 · 发表于 2024-2-4 22:08:40

趋势WFBS run miss

显示全部楼层 · 发表于 2024-2-4 22:20:22

GreatMOLA 发表于 2024-2-4 17:32
Dr.Web DPH

蜘蛛什么环境下测的，咋触发的DPH：Process.Inject.3.544

显示全部楼层 · 发表于 2024-2-4 22:26:05

user114514 发表于 2024-2-4 22:20
蜘蛛什么环境下测的，咋触发的DPH：Process.Inject.3.544

先沙盒后虚拟机，你那里没杀吗？

显示全部楼层 · 发表于 2024-2-4 22:41:35

GreatMOLA 发表于 2024-2-4 22:26
先沙盒后虚拟机，你那里没杀吗？

我在实机沙盒内没跑出后面的行为，只往program files释放一个文件就没有其他动作，用防火墙挡住了外联。

显示全部楼层 · 发表于 2024-2-4 22:46:46

GreatMOLA 发表于 2024-2-4 17:32
Dr.Web DPH

在沙箱运行样本时，蜘蛛的行为防护会拦截沙箱程序调用样本，此拦截应当视为与样本无关的拦截行为，如果此时点修正，除了系统文件，蜘蛛不管被拦的是什么东西，就直接把进程的原文件DPH：Process.Inject.3.544

，此时应视为miss

显示全部楼层 · 发表于 2024-2-4 22:48:22

hansyu 发表于 2024-2-4 22:41
我在实机沙盒内没跑出后面的行为，只往program files释放一个文件就没有其他动作，用防火墙挡住了外联。

嗯，刚刚复测了一下。这个dph在沙盒才能触发，然后虚拟机内运行时杀了衍生物、阻止payload落地。

显示全部楼层 · 发表于 2024-2-4 22:49:00

user114514 发表于 2024-2-4 22:46
在沙箱运行样本时，蜘蛛的行为防护会拦截沙箱程序调用样本，此拦截应当视为与样本无关的拦截行为，如果此 ...

嗯，刚刚复测了一下。这个dph在沙盒才能触发。我第一次用蜘蛛时用沙盒测毒，有些细节还没有知晓，感谢提醒！

显示全部楼层 · 发表于 2024-2-4 23:05:05

AhnLab V3 Internet Security 9.0 miss 云分析及信誉：未知

显示全部楼层 · 发表于 2024-2-4 23:41:07

GreatMOLA 发表于 2024-2-4 22:49
嗯，刚刚复测了一下。这个dph在沙盒才能触发。我第一次用蜘蛛时用沙盒测毒，有些细节还没有知晓，感谢提 ...

用沙箱测蜘蛛得记得1点：蜘蛛“已启动应用程序的完整性”一项拦截的进程如果不是调用系统进程的行为的，应确定为与样本无关的拦截，因为如果出了沙箱，蜘蛛对于相同行为不会有反应，但多数涉及系统进程的行为在沙箱外蜘蛛会有与沙箱内相同的反应

[病毒样本] 复习卷