卡巴扫描到的，大家帮忙看看什么东西

显示全部楼层 · 发表于 2019-6-25 03:00:37

如图，文件后缀是bin格式，卡巴在隔离沙箱里扫出了两个，但是恢复出来后，只能看见一个
电脑已开启了查看隐藏文件，但是仍然只能看见一个

显示全部楼层 · 发表于 2019-6-25 06:05:53

Emsisoft Anti-Malware

显示全部楼层 · 发表于 2019-6-25 08:01:47

G DATA INTERNET SECURITY has denied access to this website.
The site contains infected code: DeepScan:Generic.Virtob.1.EDDD2A1B (Engine A).

显示全部楼层 · 发表于 2019-6-25 10:10:23

本帖最后由 www-tekeze 于 2019-6-25 10:15 编辑

楼主上传的样本实际是个zip，解压后得到一个bin和一个txt 。

智量killed bin，火绒miss 。。。VT上报毒率24/59

https://www.virustotal.com/gui/file/f961ae775e49ad90574d0191680ea433f051ba8f3dbacf20f37449dc675626a7/detection

显示全部楼层 · 发表于 2019-6-25 10:59:10

www-tekeze 发表于 2019-6-25 10:10
楼主上传的样本实际是个zip，解压后得到一个bin和一个txt 。

智量killed bin，火绒miss 。。。VT上报 ...

妈耶，红伞都杀的JS，十有八九是命中了吧

显示全部楼层 · 发表于 2019-6-25 11:00:32

这个样本在内存写入了一段script脚本代码去执行，没细看，直接dump下来，最直接粗暴方式传vt：https://www.virustotal.com/gui/f ... e71d6bd06/detection

显示全部楼层 · 发表于 2019-6-25 11:12:13

本帖最后由 www-tekeze 于 2019-6-25 11:16 编辑

桑德尔发表于 2019-6-25 10:59
妈耶，红伞都杀的JS，十有八九是命中了吧

解压后得到的bin，VT上报毒率29/69，红伞报HTML/Jadtre.B.1 (HTML感染型病毒）。
应该还是属于脚本类，比某些乱码式报法强。。

显示全部楼层 · 发表于 2019-6-25 11:13:09

www-tekeze 发表于 2019-6-25 11:12
解压后得到的bin，VT上报毒率29/69，红伞报HTML/Jadtre.B.1 (HTML感染型病毒）。
应该还是属于脚本类吧 ...

红伞对脚本的处理能力，可能和拉黑哈希值差不多

显示全部楼层 · 发表于 2019-6-25 11:23:06

桑德尔发表于 2019-6-25 11:13
红伞对脚本的处理能力，可能和拉黑哈希值差不多

通常来说，脚本类并不是红伞的强项，但脚本也没法加壳，拉黑哈希这种处理也还行吧？

显示全部楼层 · 发表于 2019-6-25 11:23:44

www-tekeze 发表于 2019-6-25 11:23
通常来说，脚本类并不是红伞的强项，但脚本也没法加壳，拉黑哈希这种处理也还行吧？

但是和哈希拉黑不同的是，红伞的拉黑还有不俗的误报

[病毒样本] 卡巴扫描到的，大家帮忙看看什么东西