2020-03-19 - ENGLISH MALSPAM PUSHES URSNIF (GOZI/IFSB)

显示全部楼层 · 发表于 2020-3-20 16:58:57

本帖最后由 YorkWaugh 于 2020-3-20 17:06 编辑

下载地址https://www.lanzous.com/b0159g2mb 密码:infected
督察说我发的乱，那这次全文搬运
2020-03-19 - ENGLISH MALSPAM PUSHES URSNIF (GOZI/IFSB)

ASSOCIATED FILES:
2020-03-19-Ursnif-IOCs.txt.zip 1.2 kB (1,236 bytes)
2020-03-19-Ursnif-IOCs.txt (1,943 bytes)
2020-03-19-Ursnif-infection-traffic.pcap.zip 647 kB (646,922 bytes)
2020-03-19-Ursnif-infection-traffic.pcap (997,531 bytes)
2020-03-19-Ursnif-malware-and-artifacts.zip 2.5 MB (2,519,582 bytes)
2020-03-19-Word-doc-with-macro-for-Ursnif.bin (60,279 bytes)
2020-03-19-initial-Ursnif-DLL-retreived-after-enabling-Word-macro.bin (347,136 bytes)
2020-03-19-not-malicious-copy-of-MSHTA.EXE-dropped-after-enabling-Word-macro.bin (13,312 bytes)
2020-03-19-password-protected-zip-archive-password-333.zip (54,224 bytes)
2020-03-19-registry-update-caused-by-Ursnif.txt (10,799,368 bytes)
2020-03-19-script-dropped-after-enabling-macros.txt (1,928 bytes)

NOTES:

Chain of events: malspam --> password-protected zip attachment --> extracted Word doc --> enable macros --> Ursnif

IMAGES

Shown above: Example of an attachment from this malspam.

Shown above: Screenshot of the Word doc.

Shown above: Traffic from an infection filtered in Wireshark.

Shown above: Some items seen after enabling macros on the Word doc.

显示全部楼层 · 发表于 2020-3-20 17:02:32

本帖最后由 LSPD 于 2020-3-20 17:15 编辑

Kaspersky kill doc
补充：

显示全部楼层 · 发表于 2020-3-20 17:04:07

本帖最后由 InnoriaAlter 于 2020-3-20 17:14 编辑

我这机子用的是卡巴欸。。。。。。
ESET 3个包扫描miss

显示全部楼层 · 发表于 2020-3-20 17:08:32

本帖最后由 QVM360 于 2020-3-20 17:15 编辑

ESET 1x

显示全部楼层 · 发表于 2020-3-20 17:09:38

QVM360 发表于 2020-3-20 17:08
占楼

看你双击了

显示全部楼层 · 发表于 2020-3-20 17:09:42

Avast

显示全部楼层 · 发表于 2020-3-20 17:13:38

本帖最后由 swizzer 于 2020-3-20 17:24 编辑

智量
扫了3个，2/3.双击1个，doc加载不了，js好像依赖于dll···

显示全部楼层 · 发表于 2020-3-20 17:18:46

HyperDetect 机器学习检测到威胁. 文件已移动到隔离区。C:\Users\JOJO\Desktop\2020-03-19-initial-Ursnif-DLL-retreived-after-enabling-Word-macro.bin 是恶意软件 Gen:Illusion.Mustang.5.1020100
HyperDetect 机器学习检测到威胁. 访问该文件被拒绝。C:\Users\JOJO\Desktop\2020-03-19-Word-doc-with-macro-for-Ursnif.bin=>word/vbaProject.bin 是恶意软件 Proton.VB.Vexillum.1.419.3000001
HyperDetect 机器学习检测到威胁. 访问该文件被拒绝。C:\Users\JOJO\AppData\Roaming\Microsoft\Windows\Recent\info_03_19.doc.lnk=>C:=>Users=>JOJO=>Desktop=>info_03_19.doc=>word/vbaProject.bin 是恶意软件 Proton.VB.Vexillum.1.419.3000001

显示全部楼层 · 发表于 2020-3-20 17:19:21

QVM360 发表于 2020-3-20 17:08
ESET 1x

火绒再次Miss All，我想找官人骂娘了

显示全部楼层 · 发表于 2020-3-20 17:19:39

YorkWaugh 发表于 2020-3-20 17:19
火绒再次Miss All，我想找官人骂娘了

正常正常

[病毒样本] 2020-03-19 - ENGLISH MALSPAM PUSHES URSNIF (GOZI/IFSB)

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块