搜索
123
返回列表 发新帖
楼主: 驭龙
收起左侧

[病毒样本] 一个有意思的VBA类威胁,运行才有意思

[复制链接]
驭龙
 楼主| 发表于 2019-8-15 13:46:13 | 显示全部楼层
B100D1E55 发表于 2019-8-15 13:42
这个样本的攻击链:

ppt释放vbe并添加自启动,vbe解密完是从一个网站下载jpg,jpg本身是另一个ps1脚本 ...

三楼已经双击了,AMSI没有拦截,另一个样本,AMSI就成功拦截了
B100D1E55
发表于 2019-8-15 13:49:16 | 显示全部楼层
本帖最后由 B100D1E55 于 2019-8-15 14:18 编辑
驭龙 发表于 2019-8-15 13:46
三楼已经双击了,AMSI没有拦截,另一个样本,AMSI就成功拦截了

没戏,我提取出来核心的恶意powershell VT上是全绿:https://www.virustotal.com/gui/f ... 1006de280/detection
杀一开始的那个估计是因为改启动项,这个链条能杀任何一个环节都比什么都不杀来的好

懒得往后看了,我把东西贴这里反正谁敢兴趣可以玩一玩


本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
驭龙
 楼主| 发表于 2019-8-15 13:55:22 | 显示全部楼层
B100D1E55 发表于 2019-8-15 13:49
没戏,我提取出来核心的恶意powershell VT上是全绿:https://www.virustotal.com/gui/f ... 1006de280/de ...

我说的不是这个帖子的样本,是另一个帖子的JS混淆被AMSI阻止。
不过现在这种脚本威胁,确实是比较难缠的威胁之一了
B100D1E55
发表于 2019-8-15 13:59:37 | 显示全部楼层
驭龙 发表于 2019-8-15 13:55
我说的不是这个帖子的样本,是另一个帖子的JS混淆被AMSI阻止。
不过现在这种脚本威胁,确实是比较难缠的 ...

修正一下刚才说的,我漏了还有另一个payload,之前单独那个不报也算正常

主要是这两个URL:
hxxps://gritodopovo.com.br/rp.jpg
hxxps://gritodopovo.com.br/Host.jpg

但是后面那个已经500了下载不下来。从这个角度来看这个已经算死样本
驭龙
 楼主| 发表于 2019-8-15 14:03:34 | 显示全部楼层
B100D1E55 发表于 2019-8-15 13:59
修正一下刚才说的,我漏了还有另一个payload,之前单独那个不报也算正常

主要是这两个URL:

我去看看还有没有好玩的样本,我转发过来的样本都是有意思的,常规样本我就不转了,一大把杀的没意思,我就喜欢独特的,虽然有可能已经失效,或者不是威胁
B100D1E55
发表于 2019-8-15 14:14:32 | 显示全部楼层
驭龙 发表于 2019-8-15 14:03
我去看看还有没有好玩的样本,我转发过来的样本都是有意思的,常规样本我就不转了,一大把杀的没意思,我 ...

点赞
驭龙
 楼主| 发表于 2019-8-15 14:18:00 | 显示全部楼层

我发现好像你也去那个网站玩,因为你24楼的PS脚本地址已经在那边刚刚分析,所以我猜我们去的是一个地方
B100D1E55
发表于 2019-8-15 14:20:30 | 显示全部楼层
驭龙 发表于 2019-8-15 14:18
我发现好像你也去那个网站玩,因为你24楼的PS脚本地址已经在那边刚刚分析,所以我猜我们去的是一个地方

嘿嘿

评分

参与人数 1人气 +1 收起 理由
驭龙 + 1 现在这么好玩的地方,不多了,哈哈

查看全部评分

ELOHIM
发表于 2019-8-15 15:03:59 | 显示全部楼层
莒县小哥 发表于 2019-8-14 16:58
Microsoft

Trojan:Script/Oneeva.A!ml

现在又变了。

Trojan:O97M/Sonbokli.A!cl

评分

参与人数 1人气 +1 收起 理由
莒县小哥 + 1 版区有你更精彩: )

查看全部评分

您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛|卡饭乐购| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 苏ICP备07004770号 ) GMT+8, 2019-11-13 12:30 , Processed in 0.058896 second(s), 16 queries .

快速回复 返回顶部 返回列表