CobaltStrike 1x

显示全部楼层 · 发表于 2024-4-9 21:09:18

00006666 发表于 2024-4-9 19:53
不过CS shellcode可以自定义加载器来加载，加了VMP之后，内存特征应该都不一样，火绒怎么加的针对性特征

Cobalt加载无非几个阶段
Stager-解密Beacon-ReflectiveLoader
可抓的东西很多，比如可以把shellcode开头的代码段作为特征，cld 接一个对近地址的call

显示全部楼层 · 发表于 2024-4-9 23:15:29

显示全部楼层 · 发表于 2024-4-9 23:56:13

00006666 发表于 2024-4-9 19:53
不过CS shellcode可以自定义加载器来加载，加了VMP之后，内存特征应该都不一样，火绒怎么加的针对性特征

火绒对于那种国内比较流行的国产样本，如果它们经常带强壳并且扫描引擎没有办法直接脱壳的话，有一部分样本会直接带壳取特征串的。表现为一个不带壳的裸样本确定只能够命中一种检测特征或者不能够被检出，但是对其加了特定壳之后又只命中了另一种检测特征，而改用正常程序加同样的壳又不会报。不过个人感觉这种特征串总体报法准确度有所下降，但是广谱型有所提高。而且，我印象里的话应该有很多可能是以HEUR开头的报法，不过并不全是。

显示全部楼层 · 发表于 2024-4-10 19:19:41

瑞星kill

显示全部楼层 · 发表于 2024-4-12 18:22:36

小a

[病毒样本] CobaltStrike 1x

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块