2020-03-31 - URSNIF (GOZI/IFSB) INFECTION

YorkWaugh

下载地址：https://www.lanzous.com/iawbowj
发的有点晚，不会发重了吧
IMAGES

Shown above:  Downloading a password-protected zip archive from one of the links.

Shown above:  Extracting the EXE from the password-protected zip archive.

Shown above:  Traffic from the infection filtered in Wireshark.

Shown above:  Registry updates after the initial infection.

QVM360

ESET
Win32/Spy.Ursnif.CT

，就一个.

avira  双击 TR/AD.UrsnifDropper.4c86ac20(Cloud)

54ss

BEST
kill 2x

病毒探索者

，就一个. 发表于 2020-4-1 22:15
avira  双击 TR/AD.UrsnifDropper.4c86ac20(Cloud)

又是桌面双击才触发APC，D盘双击不会，没反应

geming3000

微软WD报，Trojan:Win32/CryptInject.AE!MTB， q
特洛伊木马
ile: D:\360极速浏览器下载\2020-03-31-Ursnif-malware\player.exe

病毒探索者

病毒探索者 发表于 2020-4-1 22:28
又是桌面双击才触发APC，D盘双击不会，没反应

好吧，过一会就杀了
看来触发APC也是有选择的

LSPD

Norton

1. 文件名: player.exe
   
2. 威胁名称: Trojan.Gen.MBT完整路径: C:\Users\msi\Desktop\新建文件夹 (2)\2020-03-31-Ursnif-malware\player.exe
   
3. 
   
4. ____________________________
   
5. 
   
6. ____________________________
   
7. 
   
8. 
   
9. 在电脑上
   
10. 2020/4/1 ( 22:29:59 )
    
11. 
    
12. 上次使用时间
    
13. 2020/4/1 ( 22:31:59 )
    
14. 
    
15. 启动项
    
16. 否
    
17. 
    
18. 已启动
    
19. 否
    
20. 
    
21. 威胁类型: 病毒。 将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。
    
22. 
    
23. ____________________________
    
24. 
    
25. 
    
26. player.exe 威胁名称: Trojan.Gen.MBT
    
27. 定位
    
28. 
    
29. 
    
30. 极少用户信任的文件
    
31. Norton 社区中有不到 5 名用户 使用了此文件。
    
32. 
    
33. 极新的文件
    
34. 该文件已在 不到 1 周 前发行。
    
35. 
    
36. 高
    
37. 此文件具有高风险。
    
38. 
    
39. 
    
40. ____________________________
    
41. 
    
42. 
    
43. 来源: 外部介质
    
44. 
    
45. 源文件:
    
46. player.exe
    
47. 
    
48. ____________________________
    
49. 
    
50. 文件操作
    
51. 
    
52. 文件: C:\Users\msi\Desktop\新建文件夹 (2)\2020-03-31-Ursnif-malware\ player.exe 已删除
    
53. ____________________________
    
54. 
    
55. 
    
56. 文件指纹 - SHA:
    
57. 4c86ac0d444bc952cad88ec0a5d07806656b59a14fccd18ecf2b5258573fcc78
    
58. 文件指纹 - MD5:
    
59. 44b75a9c3a32fdf83c083be1733c9cc2
    

复制代码

YorkWaugh

54ss 发表于 2020-4-1 22:22
BEST
kill 2x

哪2个？video_95.zip是有密码的，解压出来是那个exe，txt只是生成注册表的介绍

54ss

YorkWaugh 发表于 2020-4-1 22:34
哪2个？video_95.zip是有密码的，解压出来是那个exe，txt只是生成注册表的介绍

外面的一个和压缩包里的一个呗
真没注意他们是不是同一个文件哦