捆绑驱动木马的外{过}{滤}挂

显示全部楼层 · 发表于 2019-11-9 21:42:49

zay365 发表于 2019-11-9 20:55
http://jdg.obs-website.cn-north-1.myhuaweicloud.com/

华为云？？！

显示全部楼层 · 发表于 2019-11-9 21:45:58

BE_HC 发表于 2019-11-9 21:42
华为云？？！

是的，不过我找不到举报的地方
作者在注册这个时应该是要提供身份信息的吧

显示全部楼层 · 发表于 2019-11-9 21:59:01

本帖最后由 BE_HC 于 2019-11-9 22:03 编辑

记录微笑发表于 2019-11-9 21:32
BD沙盒分析结果：

飞塔沙盒

随机名

看样子只是hosts被删掉了

显示全部楼层 · 发表于 2019-11-9 22:05:03

本帖最后由 QVM360 于 2019-11-9 22:09 编辑

WiseVector Heur.ML.PE.B
Huorong Trojan/Hetile.C
@www-tekeze

显示全部楼层 · 发表于 2019-11-9 22:05:17

zay365 发表于 2019-11-9 21:45
是的，不过我找不到举报的地方
作者在注册这个时应该是要提供身份信息的吧

一般国内云都要实名，但看样子应该用的通用域名？

显示全部楼层 · 发表于 2019-11-9 22:06:09

本帖最后由记录微笑于 2019-11-9 22:07 编辑

BE_HC 发表于 2019-11-9 21:59
飞塔沙盒

不止这些
执行图：

主要行为：

显示全部楼层 · 发表于 2019-11-9 22:07:03

本帖最后由 QVM360 于 2019-11-9 22:13 编辑

用微步跑一下行为

显示全部楼层 · 发表于 2019-11-9 22:09:16

QVM360 发表于 2019-11-9 22:07
微步 3/24
https://s.threatbook.cn/report/file/5df8dc6edc8e959f81784ab7358bcc6c613ca29bbba38f084bc ...

显示全部楼层 · 发表于 2019-11-9 22:10:56

本帖最后由 QVM360 于 2019-11-9 22:12 编辑

zay365 发表于 2019-11-9 22:09
https://s.threatbook.cn/report/file/5df8dc6edc8e959f81784ab7358bcc6c613ca29bbba38f084bc7e6f368f82f ...

感谢，我改成64位，把分析时间加长试试看

显示全部楼层 · 发表于 2019-11-9 22:14:10

本帖最后由 QVM360 于 2019-11-9 22:18 编辑

果然，跑出行为了
微步 3/24
https://s.threatbook.cn/report/f ... p1_enx64_office2013
释放了一堆可执行文件，包括PE文件和dll文件

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\CA5FE0B8D70\D3EC7F7F0\3A90awQuh.dll

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\CA5FE0B8D70\G63BA07FF016\6C2DWMm7r.dll

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\CA5FE0B8D70\B28A70ED\A199hLZGz.dll

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\C1485EF\10111OExk.dll

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\B95DF43F\7D26BtFvW.dll

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\CA5FE0B8D70\H7F5BE\65E4HFNub.dll

file
C:\Users\vbccsb\Desktop\5df8dc6edc8e959f81784ab7358bcc6c613ca29bbba38f084bc7e6f368f82f39.lnk

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\B728E6\6913DqpK3.dll

file
C:\Users\vbccsb\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\7KA3TG0K\core[1].js

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\CA5FE0B8D70\G63BA07FF016\403ECG5sf.dll

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\A11E098\F91FlsMLp.dll

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\EC768B\8284MXpZ3.dll

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\CA5FE0B8D70\D78BF7\CDF7QYjQD.dll

file
C:\Users\vbccsb\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\7KA3TG0K\z_stat[1].js

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\CA5FE0B8D70\G4784333E3\CB212PmlG.dll

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\CA5FE0B8D70\AB953FF2\2AjIycD.dll

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\C7CDFD\7D11jnIE2.dll

file
C:\Windows\SysWOW64\5DA432mN6.sys

file
C:\Users\vbccsb\AppData\Local\Temp\FA7CF9\CA5FE0B8D70\AB953FF2\17A0KMI1i.dll

[病毒样本] 捆绑驱动木马的外{过}{滤}挂