Suspicious

显示全部楼层 · 发表于 2021-7-18 23:08:46

本帖最后由 Nocria 于 2021-7-18 23:19 编辑

Courtesy of MB.

G DATA BEAST:

BDIS ATD:

EMSISOFT BB(Online):

(Offline)

如遇样本重复，请告知。

显示全部楼层 · 发表于 2021-7-18 23:09:48

WD

Filename Threat Name Severity Initial Detect Time Threat ID Threat Execution Status Threat Status Clean Action Category
e1aeb366d8c9064c8ab7ae46c41146a6990f84cd22c895c8ac4e3f4894d36552.exe Trojan:Win32/Azorult!ml Severe (5) 7/18/2021 10:09:29 AM 2147773344 Blocked Detected No Action Trojan

复制代码

显示全部楼层 · 发表于 2021-7-18 23:10:02

本帖最后由 anthonyqian 于 2021-7-18 23:11 编辑

咖啡扫描杀
也是STOP勒索

显示全部楼层 · 发表于 2021-7-18 23:14:09

卡巴 UDS:Exploit.Win32.Shellcode.gen

显示全部楼层 · 发表于 2021-7-18 23:33:33

Norton：

显示全部楼层 · 发表于 2021-7-18 23:38:33

ESET

a variant of Win32/GenKryptik.FHQQ

显示全部楼层 · 发表于 2021-7-19 00:42:12

本帖最后由 swizzer 于 2021-7-19 00:55 编辑

Process Hollowing...
Spyshelter Premium

2021/7/19 0:31:21,D:\$aa\1\e1aeb366d8c9064c8ab7ae46c41146a6990f84cd22c895c8ac4e3f4894d36552\e1aeb366d8c9064c8ab7ae46c41146a6990f84cd22c895c8ac4e3f4894d36552.exe,57,Allowed ;正在以只读方式打开受保护的进程 (explorer.exe(pid=1956))
2021/7/19 0:31:22,D:\$aa\1\e1aeb366d8c9064c8ab7ae46c41146a6990f84cd22c895c8ac4e3f4894d36552\e1aeb366d8c9064c8ab7ae46c41146a6990f84cd22c895c8ac4e3f4894d36552.exe,57,Allowed ;正在以只读方式打开受保护的进程 (explorer.exe(pid=1956))
2021/7/19 0:31:23,D:\$aa\1\e1aeb366d8c9064c8ab7ae46c41146a6990f84cd22c895c8ac4e3f4894d36552\e1aeb366d8c9064c8ab7ae46c41146a6990f84cd22c895c8ac4e3f4894d36552.exe,57,Allowed ;正在以只读方式打开受保护的进程 (explorer.exe(pid=1956))

复制代码

随后HMPA终止样本进程。

若关闭HMPA则样本添加自启并外联。

有趣的是老版本的SSP并未成功阻止样本添加计划任务···大概是注入之后穿了SSP？
有机会用最新版SSF试试看

显示全部楼层 · 发表于 2021-7-19 05:07:30

本帖最后由 eternity. 于 2021-7-19 05:23 编辑

COMODO blocked.

显示全部楼层 · 发表于 2021-7-19 07:29:44

显示全部楼层 · 发表于 2021-7-19 08:44:05

不想被妳发现发表于 2021-7-19 00:24
@Nocria 你是WIN10系统？

这是虚拟机里面测试的，系统是Win8.1.

[可疑文件] Suspicious