SilverFox（8.20） 1x

UNknownOoo

应该没有重复吧...最近银狐太活跃了（

还是注入explorer的那家


VT初扫：9/75

https://wwjw.lanzouq.com/iUYEb27yi0vi

金山毒霸漏报，反馈了

Loyisa

双击后KART无动作

UNknownOoo

Loyisa 发表于 2024-8-20 18:14
双击后KART无动作

检查一下explorer.exe有没有异常外联...她会检测环境的

aikafans

360杀
火绒adv
沙盒双击，允许联网，然后自己退出了

swizzer

iDefender(大概)拦截 (为什么内核模式的规则无日志啊...)

payload落地但explorer.exe无外联，样本报错退出。

Loyisa

UNknownOoo 发表于 2024-8-20 18:18
检查一下explorer.exe有没有异常外联...她会检测环境的

钉钉和微信都装了 explorer没有外联

UNknownOoo

aikafans 发表于 2024-8-20 18:20
360杀
火绒adv
沙盒双击，允许联网，然后自己退出了

浅浅测了一下，火绒的防篡改还是有用的（）

1. 防护项目：资源管理器
   
2. 目标进程：C:\Windows\explorer.exe
   
3. 目标进程命令行：C:\Windows\Explorer.EXE
   
4. 操作结果：已阻止
   
5. 进程ID：8508
   
6. 操作进程：C:\Users\Administrator\Desktop\PCssetup_6006.exe
   
7. 操作进程命令行："C:\Users\Administrator\Desktop\PCssetup_6006.exe"
   
8. 父进程ID：5716
   
9. 父进程：C:\Windows\explorer.exe
   
10. 父进程命令行：C:\Windows\Explorer.EXE

复制代码

不开的话就寄（

aikafans

UNknownOoo 发表于 2024-8-20 18:23
浅浅测了一下，火绒的防篡改还是有用的（）

关键进程保护规则我也启用了，之前没太注意，你这么一测，我觉得自带规则还是有用的

swizzer

UNknownOoo 发表于 2024-8-20 18:23
浅浅测了一下，火绒的防篡改还是有用的（）

你那边冰盾开资源管理器加固的话能拦截注入吗

我发现我这边貌似关闭防护也不能成功注入explorer...