求反灰鸽子的规则

Balaor

天神DeIty 发表于 2024-11-19 23:36
2000  xp时代开始就有.https://learn.microsoft.com/zh-cn/windows-server/remote/remote-desktop-servic ...

感谢老铁！！

ongarabazanade

Avast秒杀灰鸽子

火绒工程师

meiveryq 发表于 2024-11-19 21:48
现在还在网址，而且活得好好的，而且有很强的免杀，卡巴和360都识别不出来，我自己给自己装上员工端后， ...

您好，这边登录网址发现有多个终端，麻烦您将被利用样本上传至论坛这边看下

lixihong10

开局一张图，规则全靠编
了解它们行为后写规则就容易了，另外灰鸽子XP时代的才是正版，现在的只是同名软件。

远控木马功能一般如下：

功能无非就是调摄像头，麦克风，屏幕监控，键盘记录，远程命令等。
启动方式也就三种，绿色模式，注册表启动模式，服务启动模式。
启动后隐藏自己的方式，要么就是svch0st，注入或修改其他进程内存，或者傀儡空壳等。

vm001

楼主，火绒这个功能应该能满足你，不需要啥规则..

墨水点点滴

meiveryq 发表于 2024-11-19 21:48
现在还在网址，而且活得好好的，而且有很强的免杀，卡巴和360都识别不出来，我自己给自己装上员工端后， ...

人家已经是合规软件了，有备案的，看看有没有数字签名

yxzdennis

现在应该是从良了 根据官网的信息 查到了工商信息 https://www.tianyancha.com/company/1708921860

meiveryq

yxzdennis 发表于 2024-11-20 10:48
现在应该是从良了 根据官网的信息 查到了工商信息 https://www.tianyancha.com/company/1708921860

从良是不可能从良的，我都被查过水表了

meiveryq

火绒工程师 发表于 2024-11-20 09:38
您好，这边登录网址发现有多个终端，麻烦您将被利用样本上传至论坛这边看下

第一个终端，经理端，注册登录后可以生成员工端，那个员工端是可以完全隐藏的，进程都查不到的那种

夜的浣熊

我记得灰鸽子现在洗白了，所以卡巴这些自然就不杀了啊。就是说现在灰鸽子是正规远程软件了，有版权了