#NanoCore.Botnet #Downloader

www-tekeze

我也下下来了，还准备明天发。。。智量开始就是入库杀，火绒Miss 。

saga3721

红伞杀gen8

www-tekeze

安天和无BD管家，Both Scan Miss，双击，进程很快呆滞，两家没反应。

www-tekeze

微点，Scan Miss，双击，十几秒后进程还会自动退出，主防没反应。。。补充：从火绒拦截情况看动作比较明显，恢复虚拟机再试，微点还是没反应。。。看来我的环境不适合，以后不玩双击了。。

www-tekeze

www-tekeze 发表于 2020-2-17 00:07
我也下下来了，还准备明天发。。。智量开始就是入库杀，火绒Miss 。

双击，几秒后被智量主防杀！
退出智量双击，还是利用 (或注入) RegAsm，添加自启、联网，但没任何流量，火绒主防没反应。。

PS：智量主防报WhiteListEvasion，看来是白利用而不是注入！

yjwfdc

2020/2/17 00:35:11    创建新进程    允许
进程: d:\病毒\20200216\gid\gid.exe
目标: c:\windows\microsoft.net\framework\v2.0.50727\regasm.exe
命令行: "D:\病毒\20200216\GID\GID.exe"

2020/2/17 00:35:20    修改其他进程的线程    允许
进程: d:\病毒\20200216\gid\gid.exe
目标: c:\windows\microsoft.net\framework\v2.0.50727\regasm.exe

2020/2/17 00:35:35    修改注册表值    阻止
进程: c:\windows\microsoft.net\framework\v2.0.50727\regasm.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\EENTYDIGHE
值: C:\Users\pydn200131\Arbejd7\Thrustorsv8.exe

2020/2/17 00:35:47    创建文件    允许
进程: c:\windows\microsoft.net\framework\v2.0.50727\regasm.exe
目标: C:\Users\pydn200131\Arbejd7\Thrustorsv8.exe

2020/2/17 00:36:08    访问网络    允许
进程: c:\windows\microsoft.net\framework\v2.0.50727\regasm.exe
目标: TCP [本机 : 58786] ->  [31.13.77.33 : 443 (https)]

2020/2/17 00:36:34    访问网络    允许
进程: c:\windows\microsoft.net\framework\v2.0.50727\regasm.exe
目标: TCP [本机 : 58787] ->  [31.13.77.33 : 443 (https)]

2020/2/17 00:36:36    访问网络    允许
进程: c:\windows\microsoft.net\framework\v2.0.50727\regasm.exe
目标: TCP [本机 : 58788] ->  [31.13.77.33 : 443 (https)]

2020/2/17 00:36:41    访问网络    允许
进程: c:\windows\microsoft.net\framework\v2.0.50727\regasm.exe
目标: TCP [本机 : 58789] ->  [31.13.77.33 : 443 (https)]

2020/2/17 00:36:43    访问网络    允许
进程: c:\windows\microsoft.net\framework\v2.0.50727\regasm.exe
目标: TCP [本机 : 58790] ->  [31.13.77.33 : 443 (https)]

2020/2/17 00:36:43    创建注册表项    允许
进程: c:\windows\system32\svchost.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RADAR\HeapLeakDetection\DiagnosedApplications\RegAsm.exe


2020/2/17 00:36:45    访问网络    允许
进程: c:\windows\microsoft.net\framework\v2.0.50727\regasm.exe
目标: TCP [本机 : 58791] ->  [31.13.77.33 : 443 (https)]


2020/2/17 00:36:55    访问网络    允许
进程: c:\windows\microsoft.net\framework\v2.0.50727\regasm.exe
目标: TCP [本机 : 58792] ->  [31.13.77.33 : 443 (https)]

连的是爱尔兰的地址。

munsimli

紅傘右鍵掃描殺

心醉咖啡

毒霸扫描miss

LSPD

Norton kill

ATP_synthase

卡巴杀