一个宏病毒

显示全部楼层 · 发表于 2018-10-1 14:23:52

本帖最后由 remiliacn 于 2018-10-1 14:26 编辑

Threat Score: 100/100
AV Detection: 16% CVE-2017-1188

https://app.any.run/tasks/ffa74368-3936-44e8-80a9-5975cbab4e85

显示全部楼层 · 发表于 2018-10-1 14:28:33

01.10.2018 14.27.43;检测到的对象 ( 文件 ) 已删除;C:\Users\Administrator\Desktop\33c76f52c032f99b10f6591e4b467ac9f2e3243b6ef611e8f84d2a4454036cea.doc//cT6VvSve.3//data0000//exploit;C:\Users\Administrator\Desktop\33c76f52c032f99b10f6591e4b467ac9f2e3243b6ef611e8f84d2a4454036cea.doc//cT6VvSve.3//data0000//exploit;HEUR:Exploit.MSOffice.Generic;木马程序;10/01/2018 14:27:43
01.10.2018 14.27.43;检测到的对象 ( 文件 ) 已删除;C:\Users\Administrator\Desktop\33c76f52c032f99b10f6591e4b467ac9f2e3243b6ef611e8f84d2a4454036cea.doc//cT6VvSve.3;C:\Users\Administrator\Desktop\33c76f52c032f99b10f6591e4b467ac9f2e3243b6ef611e8f84d2a4454036cea.doc//cT6VvSve.3;HEUR:Exploit.Win32.CVE-2017-11882.a;木马程序;10/01/2018 14:27:43
01.10.2018 14.27.43;检测到的对象 ( 文件 ) 已删除;C:\Users\Administrator\Desktop\33c76f52c032f99b10f6591e4b467ac9f2e3243b6ef611e8f84d2a4454036cea.doc//cT6VvSve.3//data0000;C:\Users\Administrator\Desktop\33c76f52c032f99b10f6591e4b467ac9f2e3243b6ef611e8f84d2a4454036cea.doc//cT6VvSve.3//data0000;HEUR:Exploit.MSOffice.Generic;木马程序;10/01/2018 14:27:43
01.10.2018 14.27.43;检测到的对象 ( 文件 ) 已删除;C:\Users\Administrator\Desktop\33c76f52c032f99b10f6591e4b467ac9f2e3243b6ef611e8f84d2a4454036cea.doc;C:\Users\Administrator\Desktop\33c76f52c032f99b10f6591e4b467ac9f2e3243b6ef611e8f84d2a4454036cea.doc;10/01/2018 14:27:43

复制代码

显示全部楼层 · 发表于 2018-10-1 14:54:19

NPE Kill
Norton Scan MISS

显示全部楼层 · 发表于 2018-10-1 14:57:43

VirusTotal Smart Scanner 1.06
======================================================================================
Scan Time: 2018-10-01-14-56-57
Scan Duration: 3 seconds
Scan Target: C:\Users\zhong\Downloads\Compressed\VIRUS TEST\卡饭\33c76f52c032f99b10f6591e4b467ac9f2e3243b6ef611e8f84d2a4454036cea
Number of Scan Files: 1
Number of Infected Files: 1
engine_threshold_slider : 80
upload_check : True
log_check : True
menu_check : True
scan_pe_check : False
grayware_check : True
rescan_check : False
black_check : True
white_check : True
crawler_check : True
======================================================================================
Threat(s):
Exploit.Generic sha256: 33c76f52c032f99b10f6591e4b467ac9f2e3243b6ef611e8f84d2a4454036cea Path: C:\Users\zhong\Downloads\Compressed\VIRUS TEST\卡饭\33c76f52c032f99b10f6591e4b467ac9f2e3243b6ef611e8f84d2a4454036cea\33c76f52c032f99b10f6591e4b467ac9f2e3243b6ef611e8f84d2a4454036cea.doc

复制代码

Huorong MISS

显示全部楼层 · 发表于 2018-10-1 14:59:25

bd

Exploit.CVE-2017-11882.Gen

显示全部楼层 · 发表于 2018-10-1 15:24:05

管家天融信 MISS

显示全部楼层 · 发表于 2018-10-1 22:20:21

实机影子模式下双击，Norton没反应，未见任何异常。

显示全部楼层 · 发表于 2018-10-2 13:08:30

火绒、智量均不报，连是否启用宏的提示都没有，哪来的宏病毒，难道利用了0day？

显示全部楼层 · 发表于 2018-10-3 01:19:57

www-tekeze 发表于 2018-10-2 13:08
火绒、智量均不报，连是否启用宏的提示都没有，哪来的宏病毒，难道利用了0day？

从行为分析来看应该使用了CVE-2017-1188的漏洞

显示全部楼层 · 发表于 2018-10-3 11:44:30

remiliacn 发表于 2018-10-3 01:19
从行为分析来看应该使用了CVE-2017-1188的漏洞

从微步云沙箱看是有那个漏洞利用，但火绒也有漏洞攻击防护，没检测出来吧，看今下午会不会入库。

https://s.threatbook.cn/report/f ... p1_enx86_office2013

[可疑文件] 一个宏病毒