#Emotet (2020-07-22)

DPT1

川建国代理人

QVM360 发表于 2020-7-22 09:35
另一个加了新混淆，放心，官人很快来蹲点

现在Kill X2咯

swizzer

@QVM360
智量7.13  22:47 的库
扫描不报的那个会释放C:\Windows\SysWOW64\msra\dxtmsft.exe，随后自退，未与C2通信。运行衍生物后，衍生物会再释放C:\Windows\SysWOW64\api-ms-win-core-memory-l1-1-0\advapi32.exe并执行实质恶意行为，与此同时智量内存杀。

样本全部行为及智量日志在此。


@智量官方

主防为何没有直接杀262.exe？衍生物都落地了···

a233

Avast
两个都是
Win32:Malware-gen

欧阳宣

BEST
Trojan.Emotet.AIK
Trojan.GenericKDZ.68884

WAR314159

ESET kill all


时间;扫描程序;对象类型;对象;检测;操作;用户;信息;哈希;此处首次所见
2020/7/22 12:07:45;文件系统实时防护;文件;C:\UsppData\Local\Temp\BNZ.5f17bb8a9e8e06\262.exe;Win32/GenKryptik.EORI 特洛伊木马 的变种;通过删除清除;在应用程序新建的文件上发生事件: C:\Program Files\Bandizip\Bandizip.exe (103F35C2A271F39642571BC73D10C3EEB1D91B39).;5F5FDC8E15E96ABCDC4F5163E277705A10AAC666;2020/7/22 8:33:03
2020/7/22 12:07:45;文件系统实时防护;文件;C:\Useata\Local\Temp\BNZ.5f17bb8a9e8e06\Bn2bet3uy9384.exe;Win32/GenKryptik.EOQA 特洛伊木马 的变种;通过删除清除;;在应用程序新建的文件上发生事件: C:\Program Files\Bandizip\Bandizip.exe (103F35C2A271F39642571BC73D10C3EEB1D91B39).;B67A9BF7B7AEF99EF348A98A02FF943545C51ADE;2020/7/22 6:36:02

智量官方

swizzer 发表于 2020-7-22 11:47
@QVM360
智量7.13  22:47 的库
扫描不报的那个会释放C:\Windows\SysWOW64\msra\dxtmsft.exe，随后自退， ...

那个衍生物是你自己运行的吗？如果是你自己运行的就比较奇怪了, 本身emotet是会自己启动衍生物的，如果衍生物未被自动启动，可能主防会没有反应

swizzer

智量官方 发表于 2020-7-22 19:37
那个衍生物是你自己运行的吗？如果是你自己运行的就比较奇怪了, 本身emotet是会自己启动衍生物的，如果衍 ...

嗯，是我自己运行的。

不过嘛，还是希望拦截点再靠前一点的好~