两个同名激活工具（可疑样本）

显示全部楼层 · 发表于 2021-3-29 23:13:39

本帖最后由 00006666 于 2021-3-29 23:17 编辑

二号文件山石云影行为分析结果

1号文件既然卡巴信任，就不上传分析了。

@hsks @温馨小屋可以帮忙看下结果吗？

显示全部楼层 · 发表于 2021-3-29 23:18:06

00006666 发表于 2021-3-29 23:13
二号文件山石云影行为分析结果

呃呃呃
1：创造了一个隐藏的窗口
2：检查BIOS的版本3：运用了可疑的命令提示符
4：可能在安装Bootkit

全英文，吐了

赶样本，下潜

显示全部楼层 · 发表于 2021-3-29 23:18:50

hsks 发表于 2021-3-29 23:18
呃呃呃
1：创造了一个隐藏的窗口
2：检查BIOS的版本3：运用了可疑的命令提示符

只有这个云沙箱可以模拟交互环境。

显示全部楼层 · 发表于 2021-3-29 23:21:33

hsks 发表于 2021-3-29 23:18
呃呃呃
1：创造了一个隐藏的窗口
2：检查BIOS的版本3：运用了可疑的命令提示符

其他的云沙箱遇到这种无法测试行为的。

显示全部楼层 · 发表于 2021-3-29 23:25:19

00006666 发表于 2021-3-29 23:21
其他的云沙箱遇到这种无法测试行为的。

目前看来这个样本最可以的地方就是被分析到可能在安装Bootkit

显示全部楼层 · 发表于 2021-3-29 23:25:37

00006666 发表于 2021-3-29 22:55
提个小建议，你可以分开好几个包吗，比如1号2号……

可能我一开始觉得这点大小的样本包你们扫描+直接删除应该没问题的
现在看起来可能各个杀软配置需要针对性调整了，不然可能扫描五六七八个小时都有了

显示全部楼层 · 发表于 2021-3-29 23:26:57

hsks 发表于 2021-3-29 23:25
目前看来这个样本最可以的地方就是被分析到可能在安装Bootkit

其他的云沙箱感觉跟布谷鸟相比没有多少进步。

显示全部楼层 · 发表于 2021-3-29 23:49:47

BD 小马激活工具.exe 报Application.Hacktool.ACJ

另一个不报

显示全部楼层 · 发表于 2021-3-30 04:47:22

可疑激活工具.rar=>可疑激活工具\小马激活工具.exe

Application.Hacktool.ACJ

No action was taken

显示全部楼层 · 发表于 2021-3-30 09:53:17

hsks 发表于 2021-3-29 23:25
目前看来这个样本最可以的地方就是被分析到可能在安装Bootkit

个人认为正常的kms工具应该不会这样吧

[可疑文件] 两个同名激活工具（可疑样本）