可疑驱动火绒报Rootkit/Loader.e

显示全部楼层 · 发表于 2024-3-17 11:59:37

为原帖再加两样本；
火绒已经报同一个名字了。

原帖：
https://bbs.kafan.cn/thread-2267106-1-1.html

原原贴：
https://bbs.kafan.cn/thread-2266838-1-1.html

显示全部楼层 · 发表于 2024-3-17 12:01:00

显示全部楼层 · 发表于 2024-3-17 12:01:12

从哪儿找到的

显示全部楼层 · 发表于 2024-3-17 12:15:04

微软这边还是一如既往的静态不报告

这些驱动是在什么情况下被发现的？要不要@火绒工程师一下？

显示全部楼层 · 发表于 2024-3-17 12:34:27

EIS+KFA扫描miss all

显示全部楼层 · 发表于 2024-3-17 12:39:03

wwwab 发表于 2024-3-17 12:01
从哪儿找到的

当前样本库中搜索到的。

显示全部楼层 · 发表于 2024-3-17 13:35:15

wwwab 发表于 2024-3-17 12:01
从哪儿找到的

可是，如果要报告的话需要有明确的恶意特征或行为。虽然这个混乱的执行流相当可疑，但我们现在还没能复现它具体干了什么。既然火绒报告了Loader，就让他们的官方人员来说说它到底干了什么吧

显示全部楼层 · 发表于 2024-3-17 14:14:49

EMSI+ESET 解压+扫描无异常

显示全部楼层 · 发表于 2024-3-17 14:18:37

本帖最后由 wwwab 于 2024-3-17 14:22 编辑

ANY.LNK 发表于 2024-3-17 13:35
可是，如果要报告的话需要有明确的恶意特征或行为。虽然这个混乱的执行流相当可疑，但我们现在还没能复现 ...

你见过这种操作嘛。。安全厂商一般除非要写分析报告发布，不然的话一般是不会透露样本分析细节的（除非是锁机病毒用户需要解锁或者勒索病毒用户需要解密），样本的具体行为都不会过多透露的，哪怕是那种小学生样本或者双击就能跑出来一堆恶意行为的样本。顶多就是入库完了之后让你使用最新版本的病毒库回去查杀

显示全部楼层 · 发表于 2024-3-17 14:51:37

wwwab 发表于 2024-3-17 14:18
你见过这种操作嘛。。安全厂商一般除非要写分析报告发布，不然的话一般是不会透露样本分析细节的（除非是 ...

见过，之前用另一个号在他们论坛上问他们工程师另一个Rootkit样本（已经被对方入库有些时候了）的行为，他们就告诉我了

[可疑文件] 可疑驱动火绒报Rootkit/Loader.e