VT3 木马样本1X

显示全部楼层 · 发表于 2025-4-30 18:57:36

本帖最后由 scottxzt 于 2025-4-30 19:13 编辑

1）规则先触发
2）再次运行

显示全部楼层 · 发表于 2025-4-30 19:04:23

HMPA kill - lockdown

HMPA kill ruf9ntdpveh.exe - heapheapprotect
program -> ruf9ntdpveh.exe -> ub2fxjjy3fb.dll, callee allocatevirtualmemory

显示全部楼层 · 发表于 2025-5-1 01:04:41

腾讯电脑管家 1X

显示全部楼层 · 发表于 2025-5-1 01:57:48

冰盾沙盒运行拦截

显示全部楼层 · 发表于 2025-5-1 03:01:12

BEST 高级清除 kill

显示全部楼层 · 发表于 2025-5-1 10:03:21

McAfee默认kill
改MD5后杀白加黑衍生物uB2FXjJY3fb.dll

衍生物uB2FXjJY3fb.dll改MD5后，依然kill

显示全部楼层 · 发表于 2025-5-1 10:06:06

zyx9 发表于 2025-5-1 10:03
McAfee默认kill
改MD5后杀白加黑衍生物uB2FXjJY3fb.dll

这种主要靠云杀软，等vt拉黑处理了才来测就没意思了

显示全部楼层 · 发表于 2025-5-1 10:14:10

ジ蓅暒划过づ发表于 2025-5-1 10:06
这种主要靠云杀软，等vt拉黑处理了才来测就没意思了

改完MD5 VT是未上传状态啊不存在靠VT拉黑

显示全部楼层 · 发表于 2025-5-1 10:27:29

zyx9 发表于 2025-5-1 10:14
改完MD5 VT是未上传状态啊不存在靠VT拉黑

我意思我这个样本vt上咖啡都已经拉黑处理了，已经不是未知样本了，这不证明咖啡对未知样本基本靠vt拉黑处理？看看楼上咖啡昨天就扫描miss今天看vt这个样本咖啡已经拉黑。。改md5有啥意义？现在还有只靠比对md5的杀软吗？

显示全部楼层 · 发表于 2025-5-1 10:37:19

ジ蓅暒划过づ发表于 2025-5-1 10:27
我意思我这个样本vt上咖啡都已经拉黑处理了，已经不是未知样本了，这不证明咖啡对未知样本基本靠vt拉黑处 ...

如果McAfee不是靠机学、启发或者获取到病毒样本本体入库的话，依照你的逻辑，改完MD5对于McAfee不还是未知样本吗？因为VT上就没有这个改完MD5的样本

[病毒样本] VT3 木马样本1X