VT1 银狐

显示全部楼层 · 发表于昨天 01:41

wywt123 发表于 2025-3-10 01:35
这是个迷

像今天这种应该是Not categorized变Malware

我另外一个帖子的也是Not categorized，不知道变了没有

显示全部楼层 · 发表于昨天 01:54

Rukia 发表于 2025-3-10 01:17
释放的衍生物被检出了，应该是op自动跑的

我想说的是这种最开始给的报告全绿，后面过不几分钟又突然红了一部分的情况，按理讲这个时候沙箱已经完成分析并且停止工作了

显示全部楼层 · 发表于昨天 01:55

本帖最后由 wywt123 于 2025-3-10 02:22 编辑

ジ蓅暒划过づ发表于 2025-3-10 01:41
我另外一个帖子的也是Not categorized，不知道变了没有

显示全部楼层 · 发表于昨天 01:57

awsl10000次发表于 2025-3-10 01:54
我想说的是这种最开始给的报告全绿，后面过不几分钟又突然红了一部分的情况，按理讲这个时候沙箱已经完成 ...

这样啊，我理解浅薄了。

显示全部楼层 · 发表于昨天 02:00

wywt123 发表于 2025-3-10 01:55
看了眼已经UDS了，咱也不知道为啥就变了
op除了跑动态行为以外，还有些额外的手段

不过如果像https://bbs.kafan.cn/thread-2279810-1-1.html这个里面的样本
win7环境跑不出行为的，后续也不太可能有什么办法了

帖子里即使有饭友触发pdm但后面也没联动拉黑
卡巴的机制也挺奇怪的

显示全部楼层 · 发表于昨天 02:13

awsl10000次发表于 2025-3-10 02:00
不过如果像https://bbs.kafan.cn/thread-2279810-1-1.html这个里面的样本
win7环境跑不出行为的，后续也 ...

对，PDM报的看起来也不是100%会同步上去
倒是见过几次，被BSS误报的软件，在op上会同步上去BSS的报法的记录
传到op上沙箱跑完显示安全，实际上本地PDM照样报，得单独上报说明是PDM误报

显示全部楼层 · 发表于昨天 07:47

火绒

显示全部楼层 · 发表于昨天 09:23

essp

检测到以下文件
D:\desktop\muma123\YH\Fioxhu3.4015.msiWin64/Agent_AGen.DDB 特洛伊木马的变量

显示全部楼层 · 发表于昨天 10:31

McAfee 双击，两个样本释放的衍生物是一样的。
ti!AE2AB9896DD9

显示全部楼层 · 发表于昨天 10:55

MD 杀衍生物

[病毒样本] VT1 银狐