【夜宵】远控

显示全部楼层 · 发表于 2021-4-11 23:51:51

BE_HC 发表于 2021-4-11 23:43
应该是的，毕竟TG群里面的东西

哪个tg群呀能拉我吗

显示全部楼层 · 发表于 2021-4-11 23:53:59

BE_HC 发表于 2021-4-11 23:43
应该是的，毕竟TG群里面的东西

也拉我一下吧，我喜欢病毒群

上次看到一个卖ESET的群

显示全部楼层 · 发表于 2021-4-11 23:54:37

SEP miss

显示全部楼层 · 发表于 2021-4-11 23:55:30

本帖最后由 54ss 于 2021-4-11 23:57 编辑

温馨小屋发表于 2021-4-11 23:51
这个毒开起来确实没反应，可能在等待指令

我也没看到外连信息
啊这我瞎了有外连
同时测试太多，没注意到……

显示全部楼层 · 发表于 2021-4-11 23:59:52

本帖最后由温馨小屋于 2021-4-12 00:02 编辑

54ss 发表于 2021-4-11 23:55
我也没看到外连信息

43.128.26.244 香港腾讯云
202.8.121.56 香港 idczy.com

显示全部楼层 · 发表于 2021-4-12 00:05:34

温馨小屋发表于 2021-4-11 23:59
43.128.26.244 香港腾讯云
202.8.121.56 香港 idczy.com

bd的沙盒也没报恶意，估计要等指令下来才有反应吧…… 不过我觉得报告里这个挺有意思

显示全部楼层 · 发表于 2021-4-12 00:11:03

54ss 发表于 2021-4-12 00:05
bd的沙盒也没报恶意，估计要等指令下来才有反应吧…… 不过我觉得报告里这个挺有意思

关联分析我还是觉得这个不错

https://analyze.intezer.com/analyses/9e5f4d2d-bd16-4f9b-9f16-6be3e1075440

复制代码

显示全部楼层 · 发表于 2021-4-12 00:13:08

54ss 发表于 2021-4-12 00:05
bd的沙盒也没报恶意，估计要等指令下来才有反应吧…… 不过我觉得报告里这个挺有意思

MES的回滚内容

| Real Protect 云扫描程序将监控进程 ID 为 3184 的进程，文件路径为 C:\Users\KBLTSC\Desktop\062021Excel.exe
| 信誉为 %d 的文件 %s 被检测为 %s
| 增强补救: 已删除注册表项 HKLM\SYSTEM\CONTROLSET001\CONTROL\MEDIARESOURCES\MSVIDEO。
| 增强补救: 已删除注册表项 HKLM\SYSTEM\CONTROLSET001\CONTROL\MEDIARESOURCES。
| 增强补救: 已删除注册表项 HKLM\SYSTEM\CURRENTCONTROLSET\CONTROL\MEDIARESOURCES\MSVIDEO。
| 增强补救: 已删除注册表值 HKU\S-1-5-21-2793033111-705245384-3974637380-1001\Software\Microsoft\ActiveMovie\devenum|VERSION。
| 增强补救: 已删除注册表项 HKU\S-1-5-21-2793033111-705245384-3974637380-1001\SOFTWARE\MICROSOFT\ACTIVEMOVIE\DEVENUM。
| 增强补救: 已删除注册表项 HKU\S-1-5-21-2793033111-705245384-3974637380-1001\SOFTWARE\MICROSOFT\ACTIVEMOVIE。
| 增强补救: 已恢复注册表值 HKLM\SYSTEM\ControlSet001\Rszovn jflwaqcu|MarkTime。
| 增强补救: 已删除注册表值 HKLM\SYSTEM\ControlSet001\Rszovn jflwaqcu|CONNECTGROUP。
| 增强补救: 已删除注册表项 HKLM\SYSTEM\CONTROLSET001\RSZOVN JFLWAQCU。
| 增强补救: 已删除注册表项 HKLM\SYSTEM\CURRENTCONTROLSET\RSZOVN JFLWAQCU。
| 增强补救: 文件 C:\$MSIRecycle.Bin\TY.png 已删除。
| 增强补救: 文件 C:\$MSIRecycle.Bin\kb.jpg 已删除。
| 增强补救: 已恢复注册表值 HKU\S-1-5-21-2793033111-705245384-3974637380-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap|AutoDetect。
| 增强补救: 已恢复注册表值 HKU\S-1-5-21-2793033111-705245384-3974637380-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap|UNCAsIntranet。
| 增强补救: 已恢复注册表值 HKU\S-1-5-21-2793033111-705245384-3974637380-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap|IntranetName。
| 增强补救: 已恢复注册表值 HKU\S-1-5-21-2793033111-705245384-3974637380-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap|ProxyByPass。
| 增强补救: 文件 C:\$MSIRecycle.Bin\bnch 已删除。
| 增强补救: 文件 C:\$MSIRecycle.Bin 已删除。
| 增强补救: 文件 C:\Users\KBLTSC\AppData\Local\Temp\TY.png 已删除。
| 增强补救: 文件 C:\Users\KBLTSC\AppData\Local\Temp\BZYTY.png 已删除。
| 增强补救: 文件 C:\Users\KBLTSC\Desktop\062021Excel.exe 已删除。
| Real Protect 云发现检测项，检测项名称: Real Protect-PEE!921EC08FEFC4，其在源进程 ID: 3184 中 , 源路径: C:\Windows\System32 , 源名称: svchost.exe , 目标路径C:\Users\KBLTSC\Desktop , 目标名称: 062021Excel.exe , 目标哈希: 921ec08fefc463431662e1f93e7df9d5 , 信誉: 1 [已知恶意文件] , 源用户: , 目标用户: DESKTOP-45Q9TM2\KBLTSC , 已采取操作: 清理 , 内容版本: 1.1 , 引擎版本: 1.1

复制代码

这动作不小啊，我在卡巴虚拟机里找到了这些产物

显示全部楼层 · 发表于 2021-4-12 00:13:47

BE_HC 发表于 2021-4-12 00:11
关联分析我还是觉得这个不错

我觉得vt的就差不多了

显示全部楼层 · 发表于 2021-4-12 00:16:59

F-Secure和ESET直接就清理了

[病毒样本] 【夜宵】远控

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源