Sload (19.02.16）

显示全部楼层 · 发表于 2019-2-16 22:02:14

火绒、智量均不报，已上传智量。

显示全部楼层 · 发表于 2019-2-16 22:04:07

BE_HC 发表于 2019-2-16 22:00
lnk只看到

显示全部楼层 · 发表于 2019-2-16 22:05:58

红伞，多次扫描不报！

显示全部楼层 · 发表于 2019-2-16 22:07:56

191196846 发表于 2019-2-16 22:04
刚传VT
https://www.virustotal.com/#/file/36dd2d207a9b81aa48cc4e65b662c036764bd2ca48b639d25309e139 ...

沙盒给的Clean

显示全部楼层 · 发表于 2019-2-16 22:08:57

ESET，杀快捷方式，另一个不报。

显示全部楼层 · 发表于 2019-2-16 22:13:47

安天智甲、管家带BD，均不报！

显示全部楼层 · 发表于 2019-2-16 22:14:27

本帖最后由 191196846 于 2019-2-16 22:17 编辑

BE_HC 发表于 2019-2-16 22:07
沙盒给的Clean

看命令行
用schtasks.exe 在特定时间起powershell 下载.zip文件（payload），和旧分析文章大概一致

显示全部楼层 · 发表于 2019-2-16 22:19:28

www-tekeze 发表于 2019-2-16 22:02
火绒、智量均不报，已上传智量。

上传后智量杀.lnk，双击只看到一个利用svchost修改系统目录的动作。

显示全部楼层 · 发表于 2019-2-16 22:25:15

本帖最后由 www-tekeze 于 2019-2-16 22:27 编辑

www-tekeze 发表于 2019-2-16 22:02
火绒、智量均不报，已上传智量。

另一个改后缀为js双击，利用explorer调用WScript，全部放行最终出错。

补充：实机双击情况完全相同。

显示全部楼层 · 发表于 2019-2-16 22:26:41

本帖最后由 BE_HC 于 2019-2-16 22:32 编辑

沙盒凉凉，powershell的和vbs都被过

好像FortiGuard紧急入库了一个

Date	Operation	Detail	Rating
2019-2-16 14:13:11	Process exited	FilePath: %SYSTEMROOT%\System32\WindowsPowerShell\v1.0\powershell.exe;	Clean
2019-2-16 14:13:07	Monitor SeLoadDriverProvileges, SeShutdownProvileges, SeDebugProvileges and SeRemoteShutdownProvileges was acquired by</br>virus	FilePath: %SYSTEMROOT%\System32\WindowsPowerShell\v1.0\powershell.exe; Privileges: SeDebugPrivilege,;	Clean
2019-2-16 14:13:06	This file spawned process(es)	FilePath: %SYSTEMROOT%\System32\WindowsPowerShell\v1.0\powershell.exe; Company: Microsoft Corporation; TargetPid: 2500; CmdLine: "c:\windows\system32\WindowsPowerShell\v1.0\powershell.exe" "%1"; Version: 6.1.7600.16385 (win7_rtm.090713-1255); FileSize: 452608; Signer: Microsoft Windows; Icon: backup\24e7ab822de8e9b8edf7000fc9f64e0d.ico;	Clean
2019-2-16 14:13:06	Process memory ex was written by this file	FilePath: %SYSTEMROOT%\System32\WindowsPowerShell\v1.0\powershell.exe; TargetPid: 2500; Length: 1500; Address: 0x00050000;	Clean
2019-2-16 14:13:06	Process memory ex was written by this file	FilePath: %SYSTEMROOT%\System32\WindowsPowerShell\v1.0\powershell.exe; TargetPid: 2500; Length: 4; Address: 0x7FFDA1E8;	Clean

[病毒样本] Sload (19.02.16）