一个有意思的VBA类威胁，运行才有意思

显示全部楼层 · 发表于 2019-8-15 13:46:13

B100D1E55 发表于 2019-8-15 13:42
这个样本的攻击链：

ppt释放vbe并添加自启动，vbe解密完是从一个网站下载jpg，jpg本身是另一个ps1脚本 ...

三楼已经双击了，AMSI没有拦截，另一个样本，AMSI就成功拦截了

显示全部楼层 · 发表于 2019-8-15 13:49:16

本帖最后由 B100D1E55 于 2019-8-15 14:18 编辑

驭龙发表于 2019-8-15 13:46
三楼已经双击了，AMSI没有拦截，另一个样本，AMSI就成功拦截了

没戏，我提取出来核心的恶意powershell VT上是全绿：https://www.virustotal.com/gui/f ... 1006de280/detection
杀一开始的那个估计是因为改启动项，这个链条能杀任何一个环节都比什么都不杀来的好

懒得往后看了，我把东西贴这里反正谁敢兴趣可以玩一玩

显示全部楼层 · 发表于 2019-8-15 13:55:22

B100D1E55 发表于 2019-8-15 13:49
没戏，我提取出来核心的恶意powershell VT上是全绿：https://www.virustotal.com/gui/f ... 1006de280/de ...

我说的不是这个帖子的样本，是另一个帖子的JS混淆被AMSI阻止。
不过现在这种脚本威胁，确实是比较难缠的威胁之一了

显示全部楼层 · 发表于 2019-8-15 13:59:37

驭龙发表于 2019-8-15 13:55
我说的不是这个帖子的样本，是另一个帖子的JS混淆被AMSI阻止。
不过现在这种脚本威胁，确实是比较难缠的 ...

修正一下刚才说的，我漏了还有另一个payload，之前单独那个不报也算正常

主要是这两个URL：
hxxps://gritodopovo.com.br/rp.jpg
hxxps://gritodopovo.com.br/Host.jpg

但是后面那个已经500了下载不下来。从这个角度来看这个已经算死样本

显示全部楼层 · 发表于 2019-8-15 14:03:34

B100D1E55 发表于 2019-8-15 13:59
修正一下刚才说的，我漏了还有另一个payload，之前单独那个不报也算正常

主要是这两个URL：

我去看看还有没有好玩的样本，我转发过来的样本都是有意思的，常规样本我就不转了，一大把杀的没意思，我就喜欢独特的，虽然有可能已经失效，或者不是威胁

显示全部楼层 · 发表于 2019-8-15 14:14:32

驭龙发表于 2019-8-15 14:03
我去看看还有没有好玩的样本，我转发过来的样本都是有意思的，常规样本我就不转了，一大把杀的没意思，我 ...

显示全部楼层 · 发表于 2019-8-15 14:18:00

B100D1E55 发表于 2019-8-15 14:14
点赞

我发现好像你也去那个网站玩，因为你24楼的PS脚本地址已经在那边刚刚分析，所以我猜我们去的是一个地方

显示全部楼层 · 发表于 2019-8-15 14:20:30

驭龙发表于 2019-8-15 14:18
我发现好像你也去那个网站玩，因为你24楼的PS脚本地址已经在那边刚刚分析，所以我猜我们去的是一个地方

嘿嘿

显示全部楼层 · 发表于 2019-8-15 15:03:59

莒县小哥发表于 2019-8-14 16:58
Microsoft

Trojan:Script/Oneeva.A!ml

现在又变了。

Trojan:O97M/Sonbokli.A!cl

[病毒样本] 一个有意思的VBA类威胁，运行才有意思

本帖子中包含更多资源

评分

评分