WDATP抓到的可疑脚本，貌似宏病毒

显示全部楼层 · 发表于 2017-4-11 20:29:50

本帖最后由 540923555 于 2017-4-11 20:36 编辑

WDATP抓到的可疑脚本，两个POWERSHELL命令脚本，不是明文，看不懂，貌似宏病毒
看这进程调用应该是宏病毒。。。不是自己电脑，没找到原文件，只有WDATP记录下来的这个脚本

VT零报毒，哈勃鉴定安全，已上报微软和卡巴

密码：infected

显示全部楼层 · 发表于 2017-4-11 20:35:45

管家扫描miss

显示全部楼层 · 发表于 2017-4-11 20:36:50

心醉咖啡发表于 2017-4-11 20:35
管家扫描miss

VT零报毒

显示全部楼层 · 发表于 2017-4-11 20:51:36

540923555 发表于 2017-4-11 20:36
VT零报毒

就算排除掉可能误报的因素，单说宏病毒和脚本病毒管家扫描查杀真不咋地

显示全部楼层 · 发表于 2017-4-11 21:13:50

本帖最后由 pal家族于 2017-4-11 21:15 编辑

1.bat 双击触发行为流特征，主防杀！

11.04.2017 21.10.51;Malware detected;PDM:Exploit.Win32.Generic;d:\360安全浏览器下载\virus\1.bat;d:\360安全浏览器下载\virus\1.bat;04/11/2017 21:10:51
11.04.2017 21.10.53;Malware blocked;PDM:Trojan.Win32.Pushel.a;d:\360安全浏览器下载\virus\1.bat;d:\360安全浏览器下载\virus\1.bat;04/11/2017 21:10:53
11.04.2017 21.10.53;Malware detected;PDM:Trojan.Win32.Pushel.a;d:\360安全浏览器下载\virus\1.bat;d:\360安全浏览器下载\virus\1.bat;04/11/2017 21:10:53
11.04.2017 21.10.51;Malware blocked;PDM:Exploit.Win32.Generic;d:\360安全浏览器下载\virus\1.bat;d:\360安全浏览器下载\virus\1.bat;04/11/2017 21:10:51

第二个貌似没啥问题？卡巴没啥、打开了我的系统时间记录、

显示全部楼层 · 发表于 2017-4-11 21:16:26

第一个bat用了简单的base64加密，解密出来后是wrap在IO.MemoryStream(,[Convert]::FromBase64String()里面的另一串base64 payload，再次解密后转成bin保存就被ESET查到了（估计运行的话AMS也会杀）

显示全部楼层 · 发表于 2017-4-11 22:23:24

B100D1E55 发表于 2017-4-11 21:16
第一个bat用了简单的base64加密，解密出来后是wrap在IO.MemoryStream(,[Convert]::FromBase64String()里面 ...

厉害

显示全部楼层 · 发表于 2017-4-12 10:30:40

ESET miss

显示全部楼层 · 发表于 2017-4-12 11:07:35

轩夏发表于 2017-4-12 10:30
ESET miss

见6楼

显示全部楼层 · 发表于 2017-4-12 11:09:52

540923555 发表于 2017-4-12 11:07
见6楼

直接右键扫的

[可疑文件] WDATP抓到的可疑脚本，貌似宏病毒

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源