今天无聊下载了【永夜降临：复苏】的PC版，结果触发IDP主防了【ESET的BH也报了】

Curve25519

ESET Smart Security Premium 触发 LiveGuard 分析，不报，LiveGrid 信誉未知，扫描也不报，沙盘内似乎无法运行。话说 BH/EnigmaPacker.1 可能是指“Enigma Protector”这个壳吧？我用 7-zip 打开安装包，看到里面有
.enigma1、.enigma2 两个文件
2025/9/15 9:56:48;ESET 内核;ESET LiveGuard 正在分析文件，以确保其可安全使用。我们会在几分钟后给您发送通知。取消阻止文件(不建议)更改设置;DESKTOP-K07940I\Admin
2025/9/15 9:57:07;ESET 内核;文件“install_YongYe_16_release_1.bOIqbIn4.0.0.1_2b698f6.exe.part”已发送到 ESET Virus Lab 以供分析。;SYSTEM
2025/9/15 9:58:41;ESET 内核;ESET LiveGuard 已完成分析文件。可以安全使用。;SYSTEM



扫描日志
检测引擎的版本: 31860 (20250914)
日期: 2025/9/15  时间: 10:01:38
已扫描的磁盘、文件夹和文件: W:\Sandbox\Admin\DefaultBox\drive\W\install_YongYe_16_release_1.0.0.1_2b698f6.exe
用户: DESKTOP-K07940I\Admin
已扫描的对象数: 1
检测数: 0
完成时间: 10:01:38  总扫描时间: 0 秒 (00:00:00)

驭龙

Curve25519 发表于 2025-9-15 10:05
ESET Smart Security Premium 触发 LiveGuard 分析，不报，LiveGrid 信誉未知，扫描也不报，沙盘内似乎无法 ...

是的，就是加壳问题，实际上程序并没有什么恶意行为

驭龙

pal家族 发表于 2025-9-15 02:02
因为信誉低所以算是TA0002-T1024了？
EDR这玩意还真是敏感肌啊。如果信誉良好，用户运行应该就不算危险因 ...

这个T1024主要是说需要用户执行操作，然后002的行为是

        An adversary may rely upon a user opening a malicious file in order to gain execution. Users may be subjected to social engineering to get them to open a file that will lead to code execution. This user action will typically be observed as follow-on behavior from Spearphishing Attachment. Adversaries may use several types of files that require a user to execute them, including .doc, .pdf, .xls, .rtf, .scr, .exe, .lnk, .pif, .cpl, and .reg.

LSPD

eset报壳？那还能解除误报不？

驭龙

LSPD 发表于 2025-9-15 11:34
eset报壳？那还能解除误报不？

确实是误报，这壳不正规，所以触发BH的报壳，目前不确定能不能解除误报，因为ESET静态不杀，下载器也不杀，只是下载器下载的数据包临时文件被报壳了