搜索
楼主: icerain
收起左侧

[可疑文件] PPTV(pplive)_forap_1084_9993.exe + txupd.exe

[复制链接]
B100D1E55
发表于 2019-8-13 06:35:55 | 显示全部楼层
本帖最后由 B100D1E55 于 2019-8-13 07:08 编辑

是这个东西:https://www.fortinet.com/blog/th ... rojan-analysis.html
从ESET VirusRadar来看,杀的那个混淆手段貌似4月入库了(也可能后来调了定义),剩下几个的确是恶意样本

ESET Miss的2个只有NGAV检出(AVG,Avast是后来的跟屁虫):



从报毒名来看估计又是一个内存释放的样本,用几天前的虚拟机跑了一下ESET miss的样本果然两个都是内存杀:


而这个Agent本体去年10月已经被ESET入库




本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
icerain
 楼主| 发表于 2019-8-13 09:41:37 | 显示全部楼层
B100D1E55 发表于 2019-8-13 06:35
是这个东西:https://www.fortinet.com/blog/th ... rojan-analysis.html
从ESET VirusRadar来看,杀的那 ...

病毒行为分析有吗,主要我看下怎么来的,莫名奇妙 换了电脑还有
驭龙
发表于 2019-8-13 09:43:33 | 显示全部楼层
本帖最后由 驭龙 于 2019-8-13 09:59 编辑
B100D1E55 发表于 2019-8-13 06:35
是这个东西:https://www.fortinet.com/blog/th ... rojan-analysis.html
从ESET VirusRadar来看,杀的那 ...
这次WD真的漏了,除了PPTV(pplive)_forap_1084_9993双击杀以外,另外两个样本双击正常运行,实机运行都没有反应,哈
B100D1E55
发表于 2019-8-13 10:46:01 | 显示全部楼层
驭龙 发表于 2019-8-13 09:43
这次WD真的漏了,除了PPTV(pplive)_forap_1084_9993双击杀以外,另外两个样本双击正常运行,实机运行都没有 ...

E家已入库的毒内存广谱匹配还是不错的,我一直觉得AMS算是历代新功能里面效果最显著的一个
顺带这个样本是延迟执行的,大概运行1分钟后会开始内存内解密,那时候才会被AMS干掉
驭龙
发表于 2019-8-13 10:51:45 | 显示全部楼层
B100D1E55 发表于 2019-8-13 10:46
E家已入库的毒内存广谱匹配还是不错的,我一直觉得AMS算是历代新功能里面效果最显著的一个
顺带这个样本 ...

我只是运行一下就禁用了,所以不知道WD后续会不会有反应,这两个剩余是同一个SHA256,行为比较多,而且连接美国的服务器

这个确实是比较有趣,不知WD以后会不会杀。

其实ESET的AMS也是不错的功能,实际上不比其它家所谓的主防弱多少
B100D1E55
发表于 2019-8-13 10:53:18 | 显示全部楼层
本帖最后由 B100D1E55 于 2019-8-13 11:13 编辑
icerain 发表于 2019-8-13 09:41
病毒行为分析有吗,主要我看下怎么来的,莫名奇妙 换了电脑还有

不妨参考这个:https://www.cnblogs.com/linkenpark/p/10373702.html
这个挺有意思,金山的update程序被替换成了pplive同名pua吗。具体怎么感染的不用工具分析复现估计很难知道
icerain
 楼主| 发表于 2019-8-13 12:07:56 | 显示全部楼层
B100D1E55 发表于 2019-8-13 10:53
不妨参考这个:https://www.cnblogs.com/linkenpark/p/10373702.html
这个挺有意思,金山的update程序被 ...

好像不是这个 之前已结看过几次这篇文章了
B100D1E55
发表于 2019-8-13 12:40:17 | 显示全部楼层
icerain 发表于 2019-8-13 12:07
好像不是这个 之前已结看过几次这篇文章了

所以说是杀掉后又会生成吗?我主要意思是你可以用里面那个方法看一下源头是什么
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛|卡饭乐购| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 苏ICP备07004770号 ) GMT+8, 2019-8-25 11:31 , Processed in 0.032943 second(s), 3 queries , MemCache On.

快速回复 返回顶部 返回列表