Rietspoof (19.02.19)

Jerry.Lin

https://twitter.com/James_inthe_box/status/1097557531277160448
https://twitter.com/malwrhunterteam/status/1097568650507284483
https://blog.avast.com/rietspoof-malware-increases-activity

#Fake #Signed #Bot #Backdoor

iSatSrv.exe
https://www.virustotal.com/#/fil ... fd1916c96/detection

winscsi.exe
https://www.virustotal.com/#/fil ... d2efa07ed/detection

EmergencyExitMap.doc
https://www.virustotal.com/#/fil ... a049ac008/detection

Jirehlov1234

卡巴

EmergencyExitMap.doc - HEUR:Trojan-Dropper.MSOffice.SDrop.gen
EmergencyExitMap.doc//ThisDocument - HEUR:Trojan-Dropper.MSOffice.SDrop.gen

19.02.2019 20.05.05;允许出站网络连接;Windows SATA Device Manager;Windows SATA Device Manager;TCP;192.241.217.57;80;192.168.0.116;11746;02/19/2019 20:05:05
19.02.2019 20.05.38;允许出站网络连接;Microsoft Windows SCSI Interface Support;Microsoft Windows SCSI Interface Support;TCP;138.197.214.236;8000;192.168.0.116;11751;02/19/2019 20:05:38

心醉咖啡

火绒

1. 病毒库：2019-02-18 16:35
   
2. 开始时间：2019-02-19 21:08
   
3. 总计用时：00:00:01
   
4. 扫描对象：9个
   
5. 扫描文件：3个
   
6. 发现风险：1个
   
7. 已处理风险：1个
   
8. 发现系统修复项：0个
   
9. 处理系统修复项：0个
   
10. 
    
11. 病毒详情
    
12. 
    
13. 风险路径：F:\浏览器下载\rietspoof_02_19\EmergencyExitMap.doc, 病毒名：OMacro/Downloader.yl, 病毒ID：[f8b7f552a319f418], 处理结果：已处理
    

复制代码

www-tekeze

智量清空，火绒只报了个doc 。。   PS：处理后可以修复。

www-tekeze

红伞，监控kill 2X，剩余一个exe多次扫描不报。

www-tekeze

ESET，kill 2X，和红伞相同，留下winscsi.exe 。

www-tekeze

安天智甲，杀两个exe，留下doc 。。。管家无BD，miss all 。。

www-tekeze

www-tekeze 发表于 2019-2-19 21:38
智量清空，火绒只报了个doc 。。   PS：处理后可以修复。

双击两个exe，都只看到一个联网动作，因为带数签火绒联网控制默认是允许，但等了10分钟也没任何流量，启动智量快速扫描也没发现任何问题，虚拟机动作不完全还是被墙了？  呵呵，懒得深究。。

补充：任务管理器里始终有两条进程，一条显示为SCSI接口支持，一条显示为SATA设备管理器，CPU使用始终为0 。

ziyerain2015

废物*2

ziyerain2015