长江环保生态系统-胡琳琳-个人简历

显示全部楼层 · 发表于 2021-4-2 17:26:37

avast 拦截下载

显示全部楼层 · 发表于 2021-4-2 17:36:28

meaqua 发表于 2021-4-2 14:32
有可疑行为请勿实机运行
等我再看看后面是啥

怎么看出来的

，大佬可以说下吗

显示全部楼层 · 发表于 2021-4-2 17:46:29

meaqua 发表于 2021-4-2 14:32
有可疑行为请勿实机运行
等我再看看后面是啥

懒得截图随便说几句吧
这是个自解压的exe
里面有一个正常的flash安装包(flashplayerpp_install_cn.exe)和恶意程序(flashplayerpp_install_cn_fc.exe)自解压后会运行这两个
在恶意程序中首先会检测系统中的进程数量如果小于四十则会退出。这应该就是用来反沙箱反虚拟机的（刚刚去看360的报告又发现了另外一个反沙箱的手段，外层的自解压程序是32位的，沙箱就可能用32位的环境跑，但是实际的恶意部分是64位的。同时又塞了一个32位的flash的安装包保证能跑出大量有效行为来迷惑分析者）
然后通过GetProcAddress获取一些api，这些api的名称都是加密的。运行时解密，用来对抗静态扫描（虽然这几个api还是挺常见的）
通过这些api解密出下一阶段的shellcode并运行

第二阶段的shellcode的功能很简单通过PEB遍历LDR来获取api地址然后通过clr.dll里的一部分api布置出clr的运行环境最终加载QuasarRat

整个利用流程从文件名称到文件图标以及多种反沙箱手段还有较低的查杀率来看，针对性极强，十分专业。是专业的红队进行的攻击。

又到了一年护网的时候，希望今年的蓝队也多多提高安全意识。

IOC
2752ebe367014ca2506e55fc3c0a27fd
82DD00E12563AB800FD3E16CC7127BF9

题外话
希望有些坛友说话不要那么绝对，也不要用那么大的字号来污染整个网页的排版

显示全部楼层 · 发表于 2021-4-2 18:13:13

meaqua 发表于 2021-4-2 17:46
懒得截图随便说几句吧
这是个自解压的exe
里面有一个正常的flash安装包(flashplayerpp_install_cn.exe) ...

受教了，感谢大佬解答

，我逆向初学，之前看沙箱报告感觉挺正常的。

显示全部楼层 · 发表于 2021-4-2 18:18:44

meaqua 发表于 2021-4-2 17:46
懒得截图随便说几句吧
这是个自解压的exe
里面有一个正常的flash安装包(flashplayerpp_install_cn.exe) ...

不过360云沙箱那个是因为普通用户只能使用32位分析环境……

显示全部楼层 · 发表于 2021-4-3 00:33:05

诺顿

文件名: 长江环保生态系统-胡琳琳-个人简历.exe
威胁名称: Trojan.Gen.2

显示全部楼层 · 发表于 2021-4-3 02:10:21

meaqua 发表于 2021-4-2 05:46
懒得截图随便说几句吧
这是个自解压的exe
里面有一个正常的flash安装包(flashplayerpp_install_cn.exe) ...

所以这东西表面是个PUA，实际是个远控

显示全部楼层 · 发表于 2021-4-3 02:13:45

本来想测测双击发现已经入库了

显示全部楼层 · 发表于 2021-4-3 11:21:50

本帖最后由北清于 2021-4-3 11:23 编辑

360云杀Trojan.Generic

显示全部楼层 · 发表于 2021-4-3 12:18:18

长江环保生态系统-胡琳琳-个人简历.exe;未处理;对象未处理;Trojan.MSIL.Quasar.mb

[病毒样本] 长江环保生态系统-胡琳琳-个人简历

评分

本帖子中包含更多资源