VT0杀样本

显示全部楼层 · 发表于 2026-9-8 10:50:23

nulluser1234 发表于 2026-9-7 17:24
最后会放两个崽下来，最后外联monurdnjoiteaf[.]top

这个 CPUID 时间检测卡的非常严，应该是各大沙箱不报毒的重要原因。判断阈值似乎是 6020 ticks，但是在我的 Win11 上一旦因为任何原因开启了 HyperV（比如默认开启的 VBS/HVCI），就需要 28000-30000 ticks，毕竟宿主机在此时也已经被虚拟化。虚拟机内同理，经测试在 32000 ticks 左右。因此，对于 Win11 + VBS/HVCI 的配置，这个木马事实上压根不能发作。我手动禁用 HyperV 之后降到 1800-2000 ticks 之后才有机会由动作。某种意义上讲也起到了筛选受害者的作用，专攻老系统/安全功能没开全的系统

显示全部楼层 · 发表于 2026-9-8 15:15:46

落霜枫舞发表于 2026-9-8 10:50
这个 CPUID 时间检测卡的非常严，应该是各大沙箱不报毒的重要原因。判断阈值似乎是 6020 ticks，但是在我 ...

也有可能是作者自身系统就没开vbs，所以给的参数很极限

显示全部楼层 · 发表于 2026-9-10 10:43:34

nulluser1234 发表于 2026-9-7 17:24
最后会放两个崽下来，最后外联monurdnjoiteaf[.]top

感谢分析

[病毒样本] VT0杀样本