掛馬樣本包(3X) #0719

Agu

server.exe
掛馬網址：newskyinternational.com/server.exe
VT(31/68)：https://www.virustotal.com/#/fil ... ac9aba20d/detection

serverx.exe
掛馬網址：newskyspaces.us/serverx.exe
VT(27/66)：https://www.virustotal.com/#/fil ... 4aec9b5e0/detection

Setup3.exe
掛馬網址：oleopene.com/Setup3.exe
VT(18/66)：https://www.virustotal.com/#/fil ... 99c55696a/detection

樣本載點(密碼infected)：
（主要）https://we.tl/GHM1qppASq
（備用）https://sendit.cloud/kiqaagxnaghs
（備用2）https://1.bitsend.jp/download/01 ... .html?setLang=zh-tw

測試：
Malwarebytes - 2X


360國際版 - 3X

Jirehlov1234

BD19

URL
hxxp://newskyinternational.com/server.exe
Gen:Variant.Razy.360881

hxxp://newskyspaces.us/serverx.exe
Gen:Variant.Razy.362852

hxxp://oleopene.com/Setup3.exe
OTP拦截但没有报法

样本
server.exe
Gen:Variant.Razy.360881

serverx.exe
Gen:Variant.Razy.362852

Setup3.exe双击
Online Threat Prevention
We blocked this dangerous page for your protection:
hxxp://101.96.10.74/crl.verisign.com/pca3.crl
Accessed by: svchost.exe
Dangerous pages attempt to install software that can harm the device, gather personal information or operate without your consent.

小坏爷

Windows Defender 防病毒程序 已检测到恶意软件或其他潜在的垃圾软件。
请参阅以下详细信息:
https://go.microsoft.com/fwlink/ ... 680291&enterprise=0
  名称: Trojan:Win32/Detplock
  ID: 2147680291
  严重性: 严重
  类别: 特洛伊木马
  路径: file:_D:\xunlei\Setup3.exe;webfile:_D:\xunlei\Setup3.exe|http://oleopene.com/Setup3.exe|pid:11384,ProcessStart:131764684256781647
  检测来源: Internet
  检测类型: 快速路径
  检测源: 实时保护
  用户: DESKTOP-UFK
  进程名称: C:\Windows\System32\browser_broker.exe


名称: Trojan:Win32/Fuery.D!cl
  ID: 2147718737
  严重性: 严重
  类别: 特洛伊木马
  路径: file:_D:\xunlei\serverx.exe;webfile:_D:\xunlei\serverx.exe|http://newskyspaces.us/serverx.exe|pid:11108,ProcessStart:131764689723744161
  检测来源: Internet
  检测类型: 快速路径
  检测源: 实时保护
  用户: DESKTOP-UFK
  进程名称: C:\Windows\System32\browser_broker.exe
  签名版本: AV: 1.273.20.0, AS: 1.273.20.0, NIS: 1.273.20.0
  引擎版本: AM: 1.1.15100.1, NIS: 1.1.15100.1

拦截一个  newskyinternational.com/server.exe
如果下载本地则报。 VirTool:MSIL/Injector

名称: VirTool:MSIL/Injector
  ID: 2147638720
  严重性: 严重
  类别: 工具
  路径: file:_D:\xunlei\MalwarePack#0719\server.exe
  检测来源: 本地计算机
  检测类型: 实际
  检测源: 实时保护

Windows Defender 防病毒程序 已检测到可疑行为。
  名称: Behavior:Win32/DroppedKnownMalware
  ID: 2101688537
  严重性: 低
  类别: 可疑行为
  找到的路径: file:_D:\Program Files\WinRAR\WinRAR.exe;process:_2212
  检测来源: 本地计算机
  检测类型: 可疑
  检测源: 实时保护
  状态: 正在执行
  用户: DESKTOP-UFK
  进程名称: D:\Program Files\WinRAR\WinRAR.exe
  签名 ID: 41453017067075
  签名版本: AV: 1.273.20.0, AS: 1.273.20.0
  引擎版本: 1.1.15100.1
  保真度标签:  低
  目标文件名:  D:\xunlei\MalwarePack#0719\server.exe

dreams521

19.07.2018 18.28.54;检测到的对象 ( 文件 ) 已删除;C:\Users\Administrator\Desktop\serverx.exe;Microsoft Windows Search Protocol Host;C:\Users\Administrator\Desktop\serverx.exe;07/19/2018 18:28:54;HEUR:Backdoor.Win32.Agent.gen
19.07.2018 18.28.51;检测到的对象( 文件 );C:\Users\Administrator\Desktop\Setup3.exe;Windows Explorer;C:\Users\Administrator\Desktop\Setup3.exe;07/19/2018 18:28:51;UDS:Trojan-PSW.Win32.Coins.a
补充
在以下文件中找到已被使用 KSN 技术的 Kaspersky Lab 产品检测到的恶意代码：
server.exe - UDS:DangerousObject.Multi.Generic

Jirehlov1234 发表于 2018-7-19 18:10
BD19

URL

OTP这个拦截不像是拉黑了样本地址，查了下IP，个人感觉更像是报了内网缓存地址。我这里双击setup3.exe并没有触发OTP，不过被ATD干掉了。

command360

Avast全kil，火绒全miss

Jirehlov1234

霄栋 发表于 2018-7-19 19:32
OTP这个拦截不像是拉黑了样本地址，查了下IP，个人感觉更像是报了内网缓存地址。我这里双击setup3.exe并 ...

不清楚，我是影子下双击的。等了几分钟atd没反应就重启了
=========================

刚才实机双击了下，结果相同，触发OTP但5分钟内没有ATD
（样本路径在非系统盘的on-access扫描排除文件夹内）

病毒探索者

第一个被微软Edge拦截，第二个打不开，第三个卡巴斯基拦截

www-tekeze

6楼已有火绒，上个智量的，清空。。

WhiteCruel

ESET

网页全部拉黑