【掛馬樣本】mswordpc.exe VT(6/56)

显示全部楼层 · 发表于 2017-1-25 23:53:33

B100D1E55 发表于 2017-1-25 12:55
不对又看了一下，suppress box那个不是反虚拟机……
payload的确因为某种原因没跑开，不然Suricata不 ...

看來確實如此，Deepviz倒是有成功分析：https://sandbox.deepviz.com/repo ... fb4a70569067994f6c/

显示全部楼层 · 发表于 2017-1-25 23:55:19

B100D1E55 发表于 2017-1-25 13:05
到能给人气的那一天我一定会+1的

你可以试着申请我们卫队啊

http://bbs.kafan.cn/thread-1860828-1-1.html

显示全部楼层 · 发表于 2017-1-26 00:27:47

mcafee kill

显示全部楼层 · 发表于 2017-1-26 09:28:01

文件名: mswordpc.exe
威胁名称: SONAR.TCP!gen1
完整路径: 不可用

____________________________

详细信息
极少用户信任的文件, 极新的文件, 风险高

原始
下载自
未知

活动
已执行的操作: 3

____________________________

在电脑上的创建时间
2017-1-26 ( 09:25:23 )

上次使用时间
2017-1-26 ( 09:25:23 )

启动项目
否

已启动
是

____________________________

极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________

来源: 外部介质

源文件:
mswordpc.exe

____________________________

文件操作

文件: f:\norton样本\sonar漏检\临时收集\ mswordpc.exe 已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\mswordpc.exe, PID:3324) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ mswordpc.exe, PID:3324 (执行者 f:\norton样本\sonar漏检\临时收集\mswordpc.exe, PID:3324) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

显示全部楼层 · 发表于 2017-1-26 11:17:26

Agu 发表于 2017-1-25 23:53
看來確實如此，Deepviz倒是有成功分析：https://sandbox.deepviz.com/report/hash/5ab0dfda4fd7dcfb4a7 ...

不知道payload换个configuration会不会跑出来

显示全部楼层 · 发表于 2017-1-26 11:17:49

翼风Fly 发表于 2017-1-25 23:55
你可以试着申请我们卫队啊
http://bbs.kafan.cn/thread-1860828-1-1.html

先去了解一下规章制度

显示全部楼层 · 发表于 2017-2-15 17:08:16

MSE 断网
mswordpc.exe
Infected: Trojan:Win32/VBInjector

[病毒样本] 【掛馬樣本】mswordpc.exe VT(6/56)