Payload x1

显示全部楼层 · 发表于 2021-9-26 22:44:51

360

显示全部楼层 · 发表于 2021-9-26 22:50:01

swizzer 发表于 2021-9-26 22:31
https://pan.huang1111.cn/s/jVzcy

要么你试试把那个非lnk文件扔到lnk指向的目录下然后双击lnk？样本 ...

怎么可能？指向目标文件不能运行，双击link怎么可能让它运行起来？

显示全部楼层 · 发表于 2021-9-26 22:59:57

秋日之殇发表于 2021-9-26 22:50
怎么可能？指向目标文件不能运行，双击link怎么可能让它运行起来？

你没注意lnk指向的应用程序是powershell吗

目标是那个文件···
————————————————————
神奇的是我这里虚拟机也跑不开

但是实体机就有行为，比如卡巴拦截的恶意网址：

显示全部楼层 · 发表于 2021-9-26 23:01:06

智量kill

显示全部楼层 · 发表于 2021-9-26 23:01:51

swizzer 发表于 2021-9-26 22:59
你没注意lnk指向的应用程序是powershell吗
目标是那个文件···
—————————————— ...

指向的是这个呀”C:\Users\Administration\AppData\Roaming\Microsoft\nmgHjQvfcqWa\gMbKjDxTNCJ.cKlaYmOZuXpGPe“

显示全部楼层 · 发表于 2021-9-26 23:07:46

本帖最后由 swizzer 于 2021-9-26 23:15 编辑

秋日之殇发表于 2021-9-26 23:01
指向的是这个呀”C:%users\Administration\AppData\Roaming\Microsoft\nmgHjQvfcqWa\gMbKjDxTNCJ.cKlaYmO ...

我说的意思不明白，直接上图吧···

总之就是你双击lnk会启动powershell···这个样本就是通过把这个lnk扔到了启动文件夹下面实现的持久化

等等等等，我现在发现应该是我这里本体做过前置行为才让lnk指向的文件直接用powershell跑的，并不是lnk内嵌有命令行

失算了。。。

显示全部楼层 · 发表于 2021-9-26 23:22:11

swizzer 发表于 2021-9-26 23:07
我说的意思不明白，直接上图吧···

总之就是你双击lnk会启动powershell···这个样本 ...

也不知道是不是跑起来了，三个powershell弹窗在循环，任务管理器只能结束掉一个，另外两个无法结束，卡巴全程无反应。

显示全部楼层 · 发表于 2021-9-26 23:29:11

秋日之殇发表于 2021-9-26 23:22
也不知道是不是跑起来了，三个powershell弹窗在循环，任务管理器只能结束掉一个，另外两个无法结束，卡巴 ...

我这里第一遍跑是三个powershell，一个持续占用100%CPU，卡巴无反应。
第二遍跑是两个Powershell，一个持续占用70%CPU，卡巴无反应。
第三遍跑，我安装了智量，这次是两个powershell，一个间歇性占用50%CPU，智量杀掉这个powershell，同时卡巴拦截恶意网址

而且每次跑都会添加自启。但是没有弹窗循环。然而虚拟机里运行时却会循环弹窗

显示全部楼层 · 发表于 2021-9-26 23:42:23

卡巴回复文件已损坏

Hello,

The attached file is corrupted and doesn't cause any harm.

显示全部楼层 · 发表于 2021-9-26 23:48:17

白崎桑发表于 2021-9-26 23:42
卡巴回复文件已损坏

我也很奇怪，这个在我的实体机上明明有行为（卡巴甚至都拦截了外联，智量也杀了添加自启···），但是在虚拟机上和别人那里就是跑不开···

我明天再研究下是怎么回事吧

[病毒样本] Payload x1

本帖子中包含更多资源

评分

浏览过的版块