EXE样本10X_5

显示全部楼层 · 发表于 2019-9-14 19:29:20

本帖最后由 FD丶纸鸢于 2019-9-14 19:30 编辑

双击后样本消失根据后面判断是拷贝自身到了C:\Users\Administrator\AppData\Roaming的一个x86开头的隐藏文件夹下，一直无法访问，将自身文件重命名为随机生成的6位字母，删除本体。判断文件夹可能有特殊的权限。
该样本经过exeinfope审查后，判断可能是加了Autoit3的壳（没见过所以不知道是不是这个壳，或者是se？
下面File Analysis分析记录：new 1.zip

魔盾：https://www.maldun.com/analysis/YXNkZmRzZmFkc2YzNzMzMzFkc2Zhc2RmYXNkZg==/

微步：https://s.threatbook.cn/report/file/298f437329a76ebda0b8323b6f008c3bb935d4ab9c97af9000fcddc4d142402b/?sign=history&env=win7_sp1_enx86_office2013

微步分析好微妙啊下面给了个Trojan的标签上面说该文件安全我：？？？？？？

显示全部楼层 · 发表于 2019-9-14 19:30:04

huang1111 发表于 2019-9-14 18:45
你看一下卡巴斯基的报毒，UDS表示是卡巴斯基通过KSN下发拉黑了

确认了是UDS杀的但是8看起来挺危险的但是没有杀详细见我之后跟帖

显示全部楼层 · 发表于 2019-9-14 20:23:08

fsp

显示全部楼层 · 发表于 2019-9-14 23:52:20

SEP，清空！

显示全部楼层 · 发表于 2019-9-15 09:41:46

FD丶纸鸢发表于 2019-9-14 19:30
确认了是UDS杀的但是8看起来挺危险的但是没有杀详细见我之后跟帖

hello

我不清楚什么叫“看起来很危险”。。。

显示全部楼层 · 发表于 2019-9-15 14:57:05

huang1111 发表于 2019-9-15 09:41
hello

我不清楚什么叫“看起来很危险”。。。

看File Analysis分析日志啊2333333
光是提升内核权限就让人肯定不是好东西了又不是杀软

[病毒样本] EXE样本10X_5

本帖子中包含更多资源

评分

本帖子中包含更多资源

评分

本帖子中包含更多资源