盗号*1

显示全部楼层 · 发表于 2021-4-10 17:43:13

hsks 发表于 2021-4-10 17:31
我实体机

我这里有反应

貌似是个远控，会下载衍生物(第二次沙盘双击的时候没有下载)
C2没挂

显示全部楼层 · 发表于 2021-4-10 17:44:26

a233 发表于 2021-4-10 17:43
我这里有反应
貌似是个远控，会下载衍生物(第二次沙盘双击的时候没有下载)
C2没挂

啊这，衍生物下在哪

显示全部楼层 · 发表于 2021-4-10 17:45:01

hsks 发表于 2021-4-10 17:44
啊这，衍生物下在哪

在C盘，一个隐藏目录里面
貌似是$MSI 开头的

显示全部楼层 · 发表于 2021-4-10 17:46:36

a233 发表于 2021-4-10 17:43
我这里有反应
貌似是个远控，会下载衍生物(第二次沙盘双击的时候没有下载)
C2没挂

我虚拟机就没有但是沙箱截图有

显示全部楼层 · 发表于 2021-4-10 17:47:50

a233 发表于 2021-4-10 17:45
在C盘，一个隐藏目录里面
貌似是$MSI 开头的

就是两个图片

显示全部楼层 · 发表于 2021-4-10 17:49:13

本帖最后由 a233 于 2021-4-10 17:50 编辑

hsks 发表于 2021-4-10 17:47
就是两个图片

我第一次双击的时候会下载，第二次删了那个文件夹再双击没有下载，直接远控
估计是云控的

显示全部楼层 · 发表于 2021-4-10 17:53:12

TOP烽火发表于 2021-4-10 17:46
我虚拟机就没有但是沙箱截图有

隐藏目录，可能要用工具才能看到。

显示全部楼层 · 发表于 2021-4-10 17:54:57

Dr.Web的上报结果
Trojan.DownLoader38.26121

显示全部楼层 · 发表于 2021-4-10 18:03:41

00006666 发表于 2021-4-10 17:53
隐藏目录，可能要用工具才能看到。

哈哈忘记这个问题了

显示全部楼层 · 发表于 2021-4-10 18:44:18

本帖最后由偷电狂魔于 2021-4-10 19:06 编辑

VirusTotal：
https://www.virustotal.com/gui/f ... 58df3a7b2/detection

kaspersky在线分析：
https://opentip.kaspersky.com/BE ... 6EA5E433258DF3A7B2/

微步云沙箱：
https://s.threatbook.cn/report/file/bea0dfb403684642d6612a653bf18dbbff35574ff7166b6ea5e433258df3a7b2/?env=win7_sp1_enx64_office2013

虚拟机（无杀毒软件并关闭Windows Defender）里解压缩双击后，10分钟内虚拟机自己重启3次，每次启动后都会有命令提示符窗口一闪而过

[可疑文件] 盗号*1