APC Injector 1x

显示全部楼层 · 发表于 2024-3-27 19:46:56

本帖最后由 DisaPDB 于 2024-3-27 19:48 编辑

pal家族发表于 2024-3-27 18:27
我感觉HMPA之所以那么敏感可能和他疯狂注入各种程序dll有关
卡巴也注入但是用processexplorer看，只有 ...

BD的话，就注入（远程线程/APC）来看，调用CteateRemoteThreadEx或者NtWriteVirtualMemory的时候atcuf64.dll会被加载，所以说这两个函数应该是有被BD Hook住了
360也是一样，远程线程注入拦截是jmp了NtWriteVirtualMemory当然核晶引擎是用EPT挂到SSDT上面了，也不属于R3 Hook范畴

显示全部楼层 · 发表于 2024-3-27 19:50:03

pal家族发表于 2024-3-27 18:38
是的我就是看没几个进程被卡巴注入了。会不会导致没有注入的进程监控不到

卡巴在R3下的Hook比较少，从对Unhook的防御力度就能看出
但是内存扫描并不一定依赖R3 Hook

显示全部楼层 · 发表于 2024-3-27 22:55:09

显示全部楼层 · 发表于 2024-3-28 01:43:45

想干嘛？注入浏览器？

显示全部楼层 · 发表于 2024-3-28 10:53:48

事件: 检测到恶意对象
用户: ？？？？
用户类型: 发起者
应用程序名称: WinRAR.exe
应用程序路径: C:\Program Files\WinRAR
组件: 文件反病毒
结果说明: 检测到
类型: 木马
名称: Trojan.Win64.Agent.qwjppn
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: 新-兰州气象局2024气象预警平台初步设计方案资料docx.exe
对象路径: D:\360极速浏览器X下载
对象的 MD5: 43CA4CBD384BD3A1DE962D2E7920339A
原因: 数据库
数据库发布日期: 今天，2024/3/28 上午8:35:00

显示全部楼层 · 发表于 2024-3-28 11:21:33

火绒kill

显示全部楼层 · 发表于 2024-3-28 14:09:13

GDHJDSYDH 发表于 2024-3-27 11:29
EIS扫描miss

[KB3503] Special detections in ESET LiveGrid
Issue
ESET LiveGrid detects a suspicious or blocked file

显示全部楼层 · 发表于 2024-3-28 14:16:04

pal家族发表于 2024-3-27 16:17
但我很怀疑卡巴如果只是报毒内存
能不能找到对应的进程和文件进行处理。。。
以前遇到反馈处理了也没用 ...

最新的21.17在内存扫描里做了些小改进你可以试试

显示全部楼层 · 发表于 2024-3-28 14:49:15

anxiety520 发表于 2024-3-28 14:16
最新的21.17在内存扫描里做了些小改进你可以试试

你试了告诉我嘛
我这边太卷了

显示全部楼层 · 发表于 2024-3-28 15:49:59

pal家族发表于 2024-3-27 16:17
但我很怀疑卡巴如果只是报毒内存
能不能找到对应的进程和文件进行处理。。。
以前遇到反馈处理了也没用 ...

正好有一张前段时间的截图，文件卡巴删不掉，重启之后还在，只能手动删除

[病毒样本] APC Injector 1x

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分

本帖子中包含更多资源