卡巴斯基不报的一个远控

显示全部楼层 · 发表于 2020-10-20 07:42:11

解压码：infected
为防和谐，文件改了名，在线分析报告里有这个文件的原名（笑）。

地址：链接: https://pan.baidu.com/s/1mXrfipV7CwzPvj2EvWJh7g 提取码: icys

在线分析：https://s.threatbook.cn/report/f ... p1_enx64_office2013

https://www.virustotal.com/gui/f ... 50a1c3384/detection

显示全部楼层 · 发表于 2020-10-20 07:59:44

本帖最后由 heheda2001 于 2020-10-20 08:04 编辑

分流:https://lem0ke.lanzous.com/iZ6Myhklf6j

显示全部楼层 · 发表于 2020-10-20 09:14:48

毒霸

扫描时间：[2020-10-20 09:14:14]
扫描用时：[00:00:03]
扫描类型：自定义查杀
扫描文件总数：1
扫描速度：1文件/秒
发现威胁：1个
清除威胁：1个
=============================================
[2020-10-20 09:14:22]
威胁：e:\浏览器下载\000\000.exe
类型：win32.heur.kvm007.a.(kcloud)
处理方式：删除

复制代码

显示全部楼层 · 发表于 2020-10-20 09:31:34

微点杀

显示全部楼层 · 发表于 2020-10-20 09:35:19

的确卡巴双击也没报
这个文件名。。。

显示全部楼层 · 发表于 2020-10-20 09:41:57

BEST
Gen:Variant.Johnnie.270699

显示全部楼层 · 发表于 2020-10-20 10:03:51

软件检测微步那个特殊用户名文件夹，检测到就不运行。
检测C:\Program Files\VMware\VMware Tools文件夹，检测到就不运行。
否则用内置的7z自解压程序，用密码“&^SRE$%^&@DVSD*&”释放内置7z压缩包里的病毒到文件夹：
C:\Users\Administrator\AppData\Roaming\Microsoft
之后000.exe调用上面目录释放的ctfmon.exe运行。

释放的样本（infected）：https://www.lanzoux.com/ibnKEhknlij

显示全部楼层 · 发表于 2020-10-20 10:16:29

lz上报了吗，没有的话我就上报了。

显示全部楼层 · 发表于 2020-10-20 10:33:24

360 微点杀 dll

显示全部楼层 · 发表于 2020-10-20 11:57:44

Avast
Win32:Trojan-gen

[病毒样本] 卡巴斯基不报的一个远控

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

浏览过的版块