银狐 1x

显示全部楼层 · 发表于 2024-9-27 23:19:28

MDB的测试双击：
管理员运行后加载的tProtect.dll漏洞驱动干掉了MsMpEng.exe的进程，EDR记录了驱动服务的创建并邮件告警

记录了文件等信息

目前runtime.exe（UDP连接111.180.189.230），winnt.exe（TCP连接47.242.184.38）上线

显示全部楼层 · 发表于 2024-9-27 23:22:15

ANY.LNK 发表于 2024-9-27 23:19
MDB的测试双击：
管理员运行后加载的tProtect.dll漏洞驱动干掉了MsMpEng.exe的进程，EDR记录了驱动服务的 ...

MDATP还在吗，还是只是MDAV被干掉了

显示全部楼层 · 发表于 2024-9-27 23:23:03

inhh1 发表于 2024-9-27 23:22
MDATP还在吗，还是只是MDAV被干掉了

只有MDAV被干掉了，MDATP还在

显示全部楼层 · 发表于 2024-9-27 23:24:13

ANY.LNK 发表于 2024-9-27 23:23
只有MDAV被干掉了，MDATP还在

那还好，起码还能远程响应一下（

显示全部楼层 · 发表于 2024-9-27 23:34:48

ANY.LNK 发表于 2024-9-27 23:23
只有MDAV被干掉了，MDATP还在

EDR开了阻断模式能干掉吗

显示全部楼层 · 发表于 2024-9-27 23:36:19

本帖最后由 Raven95676 于 2024-9-28 00:12 编辑

编辑

显示全部楼层 · 发表于 2024-9-27 23:57:01

woaimou 发表于 2024-9-27 23:34
EDR开了阻断模式能干掉吗

这个吗？

目前报告了漏洞驱动，可疑服务的创建，但winnt.exe和runtime.exe却没有检测到

显示全部楼层 · 发表于 2024-9-28 00:03:31

ANY.LNK 发表于 2024-9-27 23:57
这个吗？

那EDR应该阻断不了了:(

显示全部楼层 · 发表于 2024-9-28 00:14:07

woaimou 发表于 2024-9-28 00:03
那EDR应该阻断不了了:(

更新，没有阻断，但是搜集到信息了

显示全部楼层 · 发表于 2024-9-28 00:44:55

本帖最后由 Raven95676 于 2024-9-28 01:28 编辑

00006666 发表于 2024-9-27 22:37
该类样本都是一样的，默认设置火绒不会拦截驱动加载

正确的，实验了很多次发现默认设置下的火绒只在非常严苛的条件下才能够拦截。
注：为方便复现，使用冰盾拦截了关机，其余规则未启用
复现视频如下：https://pan.huang1111.cn/s/K9L7KhY
省流：
默认设置下火绒拦截为概率性事件

[病毒样本] 银狐 1x

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源