飞星注入器v3.4.1 | 开源 | 已修复

UNknownOoo

火绒等会因为可打印字符串中有Shellcode报毒

怎么还会有这样奇怪的特征....（看特征变种甚至还是最近提取的）

火绒
运行：关键进程防护 捉

1. 防护项目：资源管理器
   
2. 目标进程：C:\Windows\explorer.exe
   
3. 目标进程命令行：C:\Windows\Explorer.EXE
   
4. 操作结果：已阻止
   
5. 进程ID：1528
   
6. 操作进程：C:\Users\UnknownOoo\Desktop\StarFlyA.exe
   
7. 操作进程命令行："C:\Users\UnknownOoo\Desktop\StarFlyA.exe"
   
8. 父进程ID：5852
   
9. 父进程：C:\Windows\explorer.exe
   
10. 父进程命令行：C:\Windows\Explorer.EXE

复制代码

驭龙

avira双击是云APC杀


但是，修改哈希以后，重新运行样本，出现弹窗，avira哑火

lsop1349987

驭龙 发表于 2025-10-21 23:42
avira双击是云APC杀

刚复测了一下，确实是

驭龙

lsop1349987 发表于 2025-10-21 23:50
刚复测了一下，确实是

这是非常蛋疼的问题，Avira这个改哈希就废云杀的情况，真的是让人无语

菜叶片

感谢各位大佬的测试 我将结合多个沙箱（Falcon Sandbox和ELG）的结果 进一步加强动态查杀
后续将使用gcc编译 MSVC的C标准库调用了IsDebuggerPresent和TerminateProcess 被云沙箱判断为可疑
另外下个版本我会在多个杀软进行预测试（包括但不限于ESET BEST 360）

biue

腾讯电脑管家 1X