APC Injector 1x

显示全部楼层 · 发表于 2024-3-27 17:47:09

pal家族发表于 2024-3-27 16:17
但我很怀疑卡巴如果只是报毒内存
能不能找到对应的进程和文件进行处理。。。
以前遇到反馈处理了也没用 ...

我扫到内存特征了≠我会清掉源文件（被打）
其实这种Inject之后的特征很难找到源文件的，充其量就是把内存dump出来
不过这个HEUR报好像就是抓的注入之后的Beacon？之前在做CS免杀卡巴的时候就会碰到好不容易PDM过了冷不丁给一个MEM的，其实这种情况马已经失效了……

显示全部楼层 · 发表于 2024-3-27 18:27:56

DisaPDB 发表于 2024-3-27 17:47
我扫到内存特征了≠我会清掉源文件（被打）
其实这种Inject之后的特征很难找到源文件的，充其量就是把内 ...

我感觉HMPA之所以那么敏感可能和他疯狂注入各种程序dll有关
卡巴也注入但是用processexplorer看，只有少部分程序会被注入dll，我想是不是因为这个导致很多时候监控不到一些程序的动作。
BD的ATC也很敏感不知道是不是也是疯狂注入呢。。。

显示全部楼层 · 发表于 2024-3-27 18:34:12

本帖最后由 00006666 于 2024-3-27 18:35 编辑

pal家族发表于 2024-3-27 18:27
我感觉HMPA之所以那么敏感可能和他疯狂注入各种程序dll有关
卡巴也注入但是用processexplorer看，只有 ...

卡巴只是有些动作不报，不是监控不了，比如驱动加载，靠内核回调就可以监控，但是它不报

显示全部楼层 · 发表于 2024-3-27 18:36:07

pal家族发表于 2024-3-27 18:27
我感觉HMPA之所以那么敏感可能和他疯狂注入各种程序dll有关
卡巴也注入但是用processexplorer看，只有 ...

User-mode Hook肯定需要注入dll的

显示全部楼层 · 发表于 2024-3-27 18:37:04

00006666 发表于 2024-3-27 18:34
卡巴只是有些动作不报，不是监控不了，比如各种驱动加载，靠内核回调就可以监控，但是它不报

我不专业哈
我只是觉得MEM报毒其他家似乎可以找到问题字符串具体的发起进程和本地文件，进行清理？
但是怎么感觉卡巴就是报毒然后让你重启。但是重启之后还是会发生同样的事情啊
之前卡巴区反馈的MEM检测误报怀疑和搜狗输入法或者火绒有关，就是报毒却无法解决。重启了事

显示全部楼层 · 发表于 2024-3-27 18:38:05

Hibike 发表于 2024-3-27 18:36
User-mode Hook肯定需要注入dll的

是的我就是看没几个进程被卡巴注入了。会不会导致没有注入的进程监控不到

显示全部楼层 · 发表于 2024-3-27 18:39:06

各位朋友我的观点请轻喷啊
我不是搞计算机的。。。。
我都是在自己视角观察到的事情拿来分享没有基础哈

显示全部楼层 · 发表于 2024-3-27 18:41:30

00006666 发表于 2024-3-27 18:34
卡巴只是有些动作不报，不是监控不了，比如驱动加载，靠内核回调就可以监控，但是它不报

好像之前的第一代主动防御可以选择提示加载驱动
后来过个几年主动防御变成全自动的系统监控之后就变得低误报且过于温和了

显示全部楼层 · 发表于 2024-3-27 19:15:18

pal家族发表于 2024-3-27 18:39
各位朋友我的观点请轻喷啊
我不是搞计算机的。。。。
我都是在自己视角观察到的事情拿来分享没有基础哈

兴趣讨论交流而已，敢于说出自己的想法就很棒，大气谦和

显示全部楼层 · 发表于 2024-3-27 19:18:18

00006666 发表于 2024-3-27 18:34
卡巴只是有些动作不报，不是监控不了，比如驱动加载，靠内核回调就可以监控，但是它不报

你举的例子不太恰当，LoadDriver本来也不需要R3 Hook去监控。
具体的User level API监控(典型的例子是注入检测)才是需要R3 Hook的地方。

[病毒样本] APC Injector 1x