#Malsmoke #Miner（7.30）

显示全部楼层 · 发表于 2021-7-30 12:09:48

aboringman 发表于 2021-7-30 12:07
KSC：miss

双击SW杀setup.bat（衍生物，本体没有处理，这个东西很熟悉）

这个bat杀smartscreen，下payload

同类型样本也出现过

显示全部楼层 · 发表于 2021-7-30 12:13:16

dreams521 发表于 2021-7-30 11:30
智量扫描 miss

本来想测下双击
结果发现已经被入库了。。。额

显示全部楼层 · 发表于 2021-7-30 12:13:52

tomochan 发表于 2021-7-30 12:13
本来想测下双击
结果发现已经被入库了。。。额

哈哈哈哈哈哈

显示全部楼层 · 发表于 2021-7-30 12:15:44

测试一下

显示全部楼层 · 发表于 2021-7-30 12:15:47

dreams521 发表于 2021-7-30 12:13
哈哈哈哈哈哈

反正智量payload启发杀了
估计能拦

显示全部楼层 · 发表于 2021-7-30 12:27:00

hsks 发表于 2021-7-30 12:15
反正智量payload启发杀了
估计能拦

是的

显示全部楼层 · 发表于 2021-7-30 12:40:13

Microsoft Defender：解压+扫描不报告源文件MSI，payload报告Trojan:Win32/Convagent!ml

显示全部楼层 · 发表于 2021-7-30 12:43:06

本帖最后由 ANY.LNK 于 2021-7-30 12:44 编辑

hsks 发表于 2021-7-30 12:02
takeown /f "%systemroot%\System32\smartscreen.exe" /a
icacls "%systemroot%\System32\smartscreen.e ...

按理说单纯杀了SmartScreen不会造成整个服务都停止的状况，难道是因为是msi所以可以调用Windows Moudles Installer的TrustedInstaller权限去杀进程？
此外，这个脚本疑似是从Defeat-Defender上抄下来的，几乎一模一样啊

显示全部楼层 · 发表于 2021-7-30 12:43:24

eset扫描miss

显示全部楼层 · 发表于 2021-7-30 12:45:41

KES miss

[病毒样本] #Malsmoke #Miner（7.30）