Sophos非白即黑暴走模式

显示全部楼层 · 发表于 6 天前

本帖最后由 tihs 于 2025-7-6 23:21 编辑

虚拟机双击测毒，进入非白即黑暴走模式，只要是没有签名的文件大部分报毒（有签名的文件改个hash也会被杀）disrupt_2a(T1574.002)
怎么破？记得趋势好像也会非白即黑。实体机要使用的话不完蛋了

显示全部楼层 · 发表于 5 天前

本帖最后由隔山打空气于 2025-7-7 07:39 编辑

重启要么就是放一段时间别乱动之后再重启

应该是测某些被命中特征的工具/远控进AAP了主要问题是Home版有自动AAP但似乎没有控制AAP的选项（

绝大多数情况下是不会贸然激活AAP的这种就是测太多了或者测中了特定的才会进（

AAP的封锁强度一般是远高于趋势的非白即黑的它还包括一组额外的炸毛行为规则会大规模拉闸合法远控禁止各种操作之类的

显示全部楼层 · 发表于 5 天前

个人版只能重启了企业版可以自己控制台关闭AAP
你前面双击的时候应该触发了ATK/xxx报法似乎出现那个报法就会很大概率进AAP（怀疑发生定向攻击）

显示全部楼层 · 发表于 5 天前

神龟Turmi 发表于 2025-7-7 13:03
个人版只能重启了企业版可以自己控制台关闭AAP
你前面双击的时候应该触发了ATK/xxx报法似乎出现那个报法 ...

好像是有ATK报法。虚拟机重启了还是这样，后来恢复快照了，幸亏是虚拟机，实机就麻烦了

显示全部楼层 · 发表于 5 天前

第一次见Sophos的非白即黑暴走模式

显示全部楼层 · 发表于 5 天前

aikafans 发表于 2025-7-7 13:43
第一次见Sophos的非白即黑暴走模式

某些ATK报法也行常见C2框架的内存特征命中也可以（比如mem/cobalt-*）企业版你可以直接去控制台主动激活24/48/72小时任选 Home就只能去撞了

显示全部楼层 · 发表于 5 天前

隔山打空气发表于 2025-7-7 19:04
某些ATK报法也行常见C2框架的内存特征命中也可以（比如mem/cobalt-*）企业版你可以直接去控制台主动激 ...

记得很多年前用过一次企业版，那个控制台，对当时一直使用个人版产品的我来说，显得十分先进，但是，确实也难用的一批，特别是排除，一言难尽了属于是

显示全部楼层 · 发表于 5 天前

aikafans 发表于 2025-7-7 13:43
第一次见Sophos的非白即黑暴走模式

https://bbs.kafan.cn/thread-2256953-1-1.html
其实我当年就被这个非白即黑坑过了只不过我不知道。。。我还以为这是sophos的真实实力
直到第五期测试之前@隔山打空气才告诉我这是非白即黑

不过从过程来看也是检测到mem/atk 然后进入AAP 非常标准的流程

显示全部楼层 · 发表于 5 天前

神龟Turmi 发表于 2025-7-7 20:52
https://bbs.kafan.cn/thread-2256953-1-1.html
其实我当年就被这个非白即黑坑过了只不过我不知道。 ...

捉住，难得见一次龟龟被坑的时候

不过这个“disrupt_2a巴拉巴拉”确实冷门...

显示全部楼层 · 发表于 5 天前

aikafans 发表于 2025-7-7 21:24
捉住，难得见一次龟龟被坑的时候不过这个“disrupt_2a巴拉巴拉”确实冷门...

从词义我第一反应这是个什么单步阻断完全没往非白即黑想

[讨论] Sophos非白即黑暴走模式

本帖子中包含更多资源

评分

评分

本帖子中包含更多资源

评分