Luna的20260829测试所用样本 9x

Luna_ovo

本次样本信息：
来源：来自MB和自收集
数量：9个
质量预估：发布时较高，我测试完后估计gen系云拉黑应该已经上了


已测试安全软件（不建议重复扫描）：
Avria Prime
Avast Ultimate Business Security 终极企业安全
Symantec 企业保护
McAfee
WithSecure CSP(fs企业版)
火绒安全软件


测试帖地址：【再来一帖】Gen家内斗,火绒和咖啡凑热闹 Gen系有什么区别【Luna的20261006测试报告】
https://bbs.kafan.cn/thread-2296034-1-1.html


样本获取：https://c.wss.ink/f/l1s56066gy5 密码：infected
有效期一天，各位可自行接力。

落霜枫舞

BEST 扫描剩余 3x，运行阻止剩下所有



样本中的 2e216bdb002fd0f418f149a29c7d61e8ae3efcf79debd9b31f319b3906b8cc59.exe 事实上是个 dll，BEST 云沙盒检测到它是 dll 并且入口点为 Start，于是采用 rundll32 成功引爆它的行为然后检出。大家如果要本地运行可以尝试类似方法。该样本的行为：



本地运行毫无意外地 ATC 杀（故意关闭了云测的，因为云沙盒检出后已经以 Gen.Suspicious.Cloud 直接拉黑了）

heheda2001

奇安云镜
解压kill5（已根据文件名去重针对同一文件不同拦截方式的弹窗）


剩余4个扫描依旧miss



尝试在沙箱中双击剩余的四个，第一个kill


第二个无法运行，第三个好像没跑起来？第四个运行数秒后退出

luckman2037

有一个无法运行？

luckman2037

kes扫描7x，运行1x（运行的时候提示无法访问文件，uds），剩下一个运行后miss

落霜枫舞

luckman2037 发表于 2026-10-7 07:23
有一个无法运行？

我已经在 2 楼给出了，如果你指的是 2e216bdb002fd0f418f149a29c7d61e8ae3efcf79debd9b31f319b3906b8cc59.exe 这个样本不能运行，那是因为它事实上是 dll，需要引爆手段

莒县小哥

luckman2037 发表于 2026-10-7 07:25
kes扫描7x，运行1x（运行的时候提示无法访问文件，uds），剩下一个无法运行

https://opentip.kaspersky.com/2E ... /results?tab=upload

jisoss

ElasticDefend7个，漏js和ps1。不好截图所以没截图

Luna_ovo

heheda2001 发表于 2026-10-7 01:47
奇安云镜
解压kill5（已根据文件名去重针对同一文件不同拦截方式的弹窗）

好像没我想象的那么强哎

VCLinker

HyperDefenderNeo 0.9阈值miss 7x 0.7阈值就比0.9多查杀出一个