囧，最新那个PACKAGE0813，7号样本的衍生物

显示全部楼层 · 发表于 2018-8-13 20:04:21

囧，因为所有样本里只有7号样本和23号样本，数字国际版无法检出，而其中23号样本由于无法正常运行，实际上只剩下7号样本有明显的动作，并且7号样本在appdata/Roaming/llk路径下生成的这个衍生物也很有趣，可以单独运行，也有不少动作，数字国际版主防会拦截，但无论是QVM还是反应极快的云拉黑至今都没有任何响应，还是有点意思的囧囧囧

数字主防反应：

显示全部楼层 · 发表于 2018-8-13 20:12:45

紅傘

显示全部楼层 · 发表于 2018-8-13 20:35:33

23号那个报错弹窗应该是假的

目测行为是对Firefox加载黑DLL，白加黑

显示全部楼层 · 发表于 2018-8-13 20:40:48

191196846 发表于 2018-8-13 20:35
23号那个报错弹窗应该是假的

目测行为是对Firefox加载黑DLL，白加黑

囧，包括Firefox崩溃那个也是？

显示全部楼层 · 发表于 2018-8-13 20:43:39

√×√×√√× 发表于 2018-8-13 20:40
囧，包括Firefox崩溃那个也是？

C:\Users\Admin\Desktop\AVtest100\PACKAGE 0813FakeSysApp1950\PACKAGE 0813\0813(23).exe > INNO > {tmp}\fat_x.dll - Win32/Kryptik.GJTU 特洛伊木马的变种 - 通过删除清除 [1]

ESET报法，黑DLL利用Firefox

显示全部楼层 · 发表于 2018-8-13 20:48:01

貌似还带键盘记录和盗号

显示全部楼层 · 发表于 2018-8-13 21:12:35

红伞的文件天行者还是没改

显示全部楼层 · 发表于 2018-8-13 21:29:49

已经检测到危害！

显示全部楼层 · 发表于 2018-8-13 22:36:35

火绒不报，智量报。

显示全部楼层 · 发表于 2018-8-13 22:53:28

会释放一个VBS脚本在开始菜单启动项里 (Start Menu\Startup) ，然后自删除，火绒单独扫描这个llk.vbs不报，智量不检测脚本，单独执行这个脚本都是调用powershell，但未发现明显行为，不知要搞哪样。。。整个过程也不会联网。

[病毒样本] 囧，最新那个PACKAGE0813，7号样本的衍生物

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源