脚本病毒，360漏报

显示全部楼层 · 发表于 2024-3-21 16:27:02

DisaPDB 发表于 2024-3-21 16:02
360的云传仅限PE文件，所以之前对分离加载的白加黑防御乏力

云传仅限pe这个事情，360内部的工作人员都没听说过。

显示全部楼层 · 发表于 2024-3-21 16:27:49

DisaPDB 发表于 2024-3-21 16:02
360的云传仅限PE文件，所以之前对分离加载的白加黑防御乏力

问题很多，它貌似之前还不扫描TXT，然后拉黑了也没用，不会报，不知道现在改没改。

显示全部楼层 · 发表于 2024-3-21 16:29:43

keen-qv 发表于 2024-3-21 16:27
云传仅限pe这个事情，360内部的工作人员都没听说过。

是不是只限PE不知道，大多数非PE文件都不上传，比如各种文档等

显示全部楼层 · 发表于 2024-3-21 16:31:38

00006666 发表于 2024-3-21 16:29
是不是只限PE不知道，大多数非PE文件都不上传，比如各种文档等

对的，老哥说的对，只有pe和部分非pe会传

显示全部楼层 · 发表于 2024-3-21 16:34:08

00006666 发表于 2024-3-21 16:27
问题很多，它貌似之前还不扫描TXT，然后拉黑了也没用，不会报，不知道现在改没改。

这个逻辑目前是断断续续的，偶尔生效。

显示全部楼层 · 发表于 2024-3-21 17:03:20

本帖最后由 DisaPDB 于 2024-3-21 18:08 编辑

keen-qv 发表于 2024-3-21 16:31
对的，老哥说的对，只有pe和部分非pe会传

360本身引擎就是扫描文件格式然后比对是否为PE文件，再比对md5来判断是否云传
如果不是pe文件那最多加上脚本文件你如果怀疑的话可以自己用CobaltStike框架生成一个payload，把shellcode提出来看看360杀不杀

显示全部楼层 · 发表于 2024-3-21 17:08:15

DisaPDB 发表于 2024-3-21 17:03
360本身引擎就是扫描文件格式然后比对是否为PE文件，再比对md5来判断是否云传
如果不是pe文件那最多加上 ...

ink啥的倒是会上传，有那种.ink的木马，它只能说大多数非PE不上传

显示全部楼层 · 发表于 2024-3-21 17:19:52

DisaPDB 发表于 2024-3-21 17:03
360本身引擎就是扫描文件格式然后比对是否为PE文件，再比对md5来判断是否云传
如果不是pe文件那最多加上 ...

没这么绝对，还有其他部分类型，和楼上这个老哥讲的意思差不多，360相对来说上报这块儿做的还是不错的

显示全部楼层 · 发表于 2024-3-21 18:08:28

keen-qv 发表于 2024-3-21 17:19
没这么绝对，还有其他部分类型，和楼上这个老哥讲的意思差不多，360相对来说上报这块儿做的还是不错的

原回复已编辑

显示全部楼层 · 发表于 2024-3-21 18:09:04

00006666 发表于 2024-3-21 17:08
ink啥的倒是会上传，有那种.ink的木马，它只能说大多数非PE不上传

.Ink那种无文件大部分也是powershell脚本，上传正常

[病毒样本] 脚本病毒，360漏报