【两个哈希】VT首传3杀，看着文件名有一点像银狐，没有进一步分析

显示全部楼层 · 发表于昨天 15:03

驭龙发表于 2024-12-21 15:00
哇，这家伙不单单针对卫士，还针对MD啊，有个性。

话说这是乾坤的行为分析吗？回滚的彻底不

说不定是黑产团伙又去哪里找了个开源漏洞驱动使用教程，教程自带的反杀软列表，他们已往用的很多都是github找到的

显示全部楼层 · 发表于昨天 15:05

驭龙发表于 2024-12-21 15:00
哇，这家伙不单单针对卫士，还针对MD啊，有个性。

话说这是乾坤的行为分析吗？回滚的彻底不

进程结束失败，不管选阻止还是隔离，都是无限弹窗。。。

显示全部楼层 · 发表于昨天 15:06

什么，瑞星和江民都入了

等等，我家drweb

[感动]

显示全部楼层 · 发表于昨天 15:06

aboringman 发表于 2024-12-21 14:51
运行之后一段时间被重启，重启之后发现异常进程，360也无法自启，手动也无法打开了

@wowocock 疑似驱动绕360加载

显示全部楼层 · 发表于昨天 15:06

00006666 发表于 2024-12-21 15:03
说不定是黑产团伙又去哪里找了个开源漏洞驱动使用教程，教程自带的反杀软列表，他们已往用的很多都是gith ...

反正我只知道对付新的银狐，ESET越来越跟不上了，特征提取的速度，跟不上银狐的更新速度，哈哈

显示全部楼层 · 发表于昨天 15:10

1094947421 发表于 2024-12-21 15:05
进程结束失败，不管选阻止还是隔离，都是无限弹窗。。。

看来乾坤还有进一步加强的空间

显示全部楼层 · 发表于昨天 15:15

这类样本会判断public内的桌面文件夹是否有微信或钉钉类似的快捷方式，有才会执行下一步，有一定的反沙箱能力

显示全部楼层 · 发表于昨天 15:15

驭龙发表于 2024-12-21 15:10
看来乾坤还有进一步加强的空间

改成自动处理，重启之后隔离成功了。

显示全部楼层 · 发表于昨天 15:16

本帖最后由 DisaPDB 于 2024-12-21 16:10 编辑

C:\Program Files (x86)\Windows NT
C:\Program Files (x86)\Windows NT\file.bin
C:\Program Files (x86)\Windows NT\is-Q2BRE.tmp
C:\Program Files (x86)\Windows NT\updat4.vac
https://sandbox.qianxin.com/tq/r ... 321132#startBootDiv

显示全部楼层 · 发表于昨天 15:17

1094947421 发表于 2024-12-21 15:15
改成自动处理，重启之后隔离成功了。

这行为分析好像还行，起码发现威胁的行为了，希望以后能更强吧

[病毒样本] 【两个哈希】VT首传3杀，看着文件名有一点像银狐，没有进一步分析

评分

本帖子中包含更多资源