白加黑超级远控木马

显示全部楼层 · 发表于 2020-1-26 21:32:59

FD丶纸鸢发表于 2020-1-26 21:31
火绒双击
双击后释放衍生物，名为Legend（还是什么来着？忘了）Clinet.exe在Roaming文件夹下，本体退出 ...

还真是活的。一会

下个虚拟机玩

显示全部楼层 · 发表于 2020-1-26 21:35:31

@火绒工程师赶紧来看看活的后门样本火绒都没反应

显示全部楼层 · 发表于 2020-1-26 21:41:12

FD丶纸鸢发表于 2020-1-26 21:31
火绒双击
双击后释放衍生物，名为Legend（还是什么来着？忘了）Clinet.exe在Roaming文件夹下，本体退出 ...

你开联网控制不就好啦。。。

显示全部楼层 · 发表于 2020-1-26 21:45:10

本帖最后由 www-tekeze 于 2020-1-26 21:54 编辑

www-tekeze 发表于 2020-1-26 21:13
智量报一个dll为后门，exe和另一个dll有VMware数签，相信没问题。。。火绒Miss All，有空双击。。

...

恢复昨晚虚拟机快照，智量扫描Miss，开启基础实时监控双击。。。会释放两个exe到系统目录和用户目录，还会联网，但没任何流量，随后被火绒主防报勒索！

智量主防全程没反应，官人来研究下。。。@智量官方

补充：退出绒智双击，并没发现加密行为！估计安天和火绒报勒索是因为衍生物AdminService.exe篡改了两者的诱饵文件，偷偷摸摸的也不知要干啥。。。被报勒索也活该。。

显示全部楼层 · 发表于 2020-1-26 21:47:34

本帖最后由 www-tekeze 于 2020-1-26 21:59 编辑

FD丶纸鸢发表于 2020-1-26 21:35
@火绒工程师赶紧来看看活的后门样本火绒都没反应

你双击过了？怎么知道火绒没反应，看楼上。。

好吧，看到30楼了。。。加个反攻击规则，再开启勒索诱捕，否则。。。

显示全部楼层 · 发表于 2020-1-26 21:56:32

www-tekeze 发表于 2020-1-26 21:47
你双击过了？怎么知道火绒没反应，看楼上。。

这个应该看出来，这是对面再删文件被火绒报了，哈哈。如果不删除文件，估计火绒是哑火的。

显示全部楼层 · 发表于 2020-1-26 22:05:03

本帖最后由杀软病综合医院于 2020-1-26 22:09 编辑

2020年1月26日21:56:55

卡巴+eset+emsi+融智 1月24号毒库。断网
监控全部miss，双击打开一个图片，没有发作（说明拔网线还是有用的）

卡巴+eset+emsi+融智联网
解压智量预警，应该是入库了，关闭智量

其他监控全部miss
双击，全部miss，（病毒库应该还没补齐），也是打开了一个图片，但不一会儿给桌面删了一些图标，然后给关机了。

显示全部楼层 · 发表于 2020-1-26 22:09:30

vm001 发表于 2020-1-26 21:56
这个应该看出来，这是对面再删文件被火绒报了，哈哈。如果不删除文件，估计火绒是哑火的。

别神话了，我对30楼的结果很怀疑。。。1. 安天的诱饵如何删？关闭两项隐藏也看不到，除非你有System权限或者进PE。 2. 我最后不是退出绒智了么，怎么没见删文件？？ 3. 远控端删文件还有个自动程序，否则有人守着？ 4. 前面已经说过了，虽然会联网但没任何流量。 5. 自启项都没有，没什么好怕的！

显示全部楼层 · 发表于 2020-1-26 22:12:46

杀软病综合医院发表于 2020-1-26 22:05
2020年1月26日21:56:55

卡巴+eset+emsi+融智 1月24号毒库。断网

你被删图标了？？我等到现在也没见删啊。。

显示全部楼层 · 发表于 2020-1-26 22:16:23

www-tekeze 发表于 2020-1-26 22:12
你被删图标了？？我等到现在也没见删啊。。

对面是活人的话，反应应该不同，你在试试，弄个骂对面的文本或者图片在桌面上

[病毒样本] 白加黑超级远控木马

本帖子中包含更多资源