【掛馬樣本】mswordpc.exe VT(6/56)

显示全部楼层 · 发表于 2017-1-25 12:06:31

掛馬網址：geosystem.com.my/dc/mswordpc.exe

VT(6/56)：https://www.virustotal.com/en/fi ... nalysis/1485316910/

Payload行為分析：
https://www.hybrid-analysis.com/ ... 7?environmentId=100

樣本載點(SHA256前六碼5A15D1，密碼infected)：
百度雲盤-http://pan.baidu.com/s/1eSurSZo (提取碼：8tfv)

測試：
Zemana - Miss

显示全部楼层 · 发表于 2017-1-25 12:34:12

Payload根本没跑开啊。。是不是针对性免杀了

显示全部楼层 · 发表于 2017-1-25 12:35:59

ESET miss

Live Grid [未收录/已上报]

显示全部楼层 · 发表于 2017-1-25 12:42:39

[mw_shl_code=css,true]
Type: File
Source: C:\Users\Ivan\Downloads\mswordpc.exe
Status: Infected
Quarantine object: 7027d965.qua
Restored: NO
Uploaded to Avira: NO
Operating system: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.03.42.152
Virus definition file: 8.12.149.228
Detection: TR/Dropper.VB.5a15d1 (Cloud)
Date/Time: 25/1/2017, 12:42[/mw_shl_code]

显示全部楼层 · 发表于 2017-1-25 12:43:45

本帖最后由 B100D1E55 于 2017-1-25 12:45 编辑

fireherman 发表于 2017-1-25 12:35
ESET miss

Live Grid [未收录/已上报]

我这边刚才下载直接suspicious object block了

显示全部楼层 · 发表于 2017-1-25 12:45:57

B100D1E55 发表于 2017-1-25 12:34
Payload根本没跑开啊。。是不是针对性免杀了

Payload可以檢測出反虛擬機：
Anti-Detection/Stealthyness
Sets the process error mode to suppress error box

雖然打的分數不高，不過仍判斷是malicious

显示全部楼层 · 发表于 2017-1-25 12:47:15

毒霸扫描miss

显示全部楼层 · 发表于 2017-1-25 12:50:54

B100D1E55 发表于 2017-1-25 12:43
我这边刚才下载直接suspicious object block了

Why?

[v14824]

ESET Virusradar: http://www.virusradar.com/en/update/info

拦截网址

依然miss

为什么？

显示全部楼层 · 发表于 2017-1-25 12:55:41

本帖最后由 B100D1E55 于 2017-1-25 13:07 编辑

Agu 发表于 2017-1-25 12:45
Payload可以檢測出反虛擬機：
Anti-Detection/Stealthyness
Sets the process error mode to suppress ...

不对又看了一下，suppress box那个不是反虚拟机……
payload的确因为某种原因没跑开，不然Suricata不应该漏

而且进程树也不对

我这边并没有检测到反虚拟机行为，行为分拣出来属于Pony/Fareit家族

显示全部楼层 · 发表于 2017-1-25 12:56:38

360秒

[病毒样本] 【掛馬樣本】mswordpc.exe VT(6/56)

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源