API用户锁整理及发布，来测试主防吧

显示全部楼层 · 发表于 2022-1-17 09:49:23

本帖最后由火绒爃于 2022-2-2 22:31 编辑

这类改用户密码的程序不是通过运行net.exe对密码进行更改，而是采用更底层的直接调用netapi.dll的NetUserSetInfo等有关函数直接对密码进行修改，杀软很难拦截，金山毒霸和360在文章中均提到过这种新的“敲竹杠”技术，并指出最新版本可以成功防护，但我在测试过程中发现并不能防御，在各种云沙箱中只有哈勃可以分析出密码，以下对本论坛的相关样本进行整理介绍：
https://bbs.kafan.cn/thread-2203847-1-1.html
易语言样本
本样本为逆向大牛（网名烛火）所写，本质上是一个另类的Crack me，加了vmp壳并置入了VM代码，及各种反调试代码和虚拟机检测（防止云沙箱分析出密码）用于逆向研究，据说火绒的工程师未能分析出密码

https://bbs.kafan.cn/thread-1808598-1-1.html
VB样本
本样本为本论坛深山红叶发布，用于测试杀软主防，许多老牌大佬都参与了测试
https://bbs.kafan.cn/thread-2215236-1-1.html
C#样本
本样本为卡饭聚星团成员henry217制作，用于免杀和主防测试，智量官人参与讨论
金山毒霸对该技术的介绍http://scitech.people.com.cn/n/2013/1118/c1057-23579963.html360对该技术的介绍
https://blogs.360.cn/post/qiaozhugang.html
接下来公布我拿到的样本，本样本为网友凡尘叶落在我的怂恿下编译的C++样本

，此前未公开，欢迎大家虚拟机双击测试讨论，如拉黑建议锁库测试主防。

显示全部楼层 · 发表于 2022-1-17 16:18:28

这个用API Monitor这种单步API HIPS可解

日记
下载:https://haibersut.lanzouj.com/iUfzDywgiqb 密码:884o

显示全部楼层 · 发表于 2022-1-17 23:26:03

本帖最后由 BE_HC 于 2022-1-18 12:27 编辑

目前随意看了下密码应该是跟时间挂钩的，基本上解锁无望

我用虚拟机测试了一下调到23:20:30生成的两次密码和用户名都是一样的

按照IDA给的代码写了试一下

显示全部楼层 · 发表于 2022-1-17 09:50:19

本帖最后由 Hacker-云于 2022-1-17 09:51 编辑

智量，KIS,仅扫描占位。没有虚拟机不敢双击。大佬们当个参考。
2022年1月17日09:51:50

显示全部楼层 · 发表于 2022-1-17 09:54:25

本帖最后由正在缓冲于 2022-1-17 11:37 编辑

Avast启用上报大法
放弃双击测试，虚拟机有问题

显示全部楼层 · 发表于 2022-1-17 09:57:56

本帖最后由 NICO-COOPER 于 2022-1-17 11:51 编辑

Emsisoft扫描＆双击miss，重启一下看看效果

双击和管理员权限各运行一遍，虚拟机挂了，打包上报
更新，新样本双击未锁，管理员运行账户被锁，打包上报

显示全部楼层 · 发表于 2022-1-17 09:58:38

crowdstrike 解压杀

显示全部楼层 · 发表于 2022-1-17 10:01:18

本帖最后由 846472713 于 2022-1-17 10:03 编辑

费尔、G DATA安全

显示全部楼层 · 发表于 2022-1-17 10:06:17

难道真的如智量官人所言，没有什么好的防御办法了吗

显示全部楼层 · 发表于 2022-1-17 10:08:43

大蜘蛛、小红伞扫描Miss

显示全部楼层 · 发表于 2022-1-17 10:09:12

本帖最后由火绒爃于 2022-1-17 10:22 编辑

编辑

显示全部楼层 · 发表于 2022-1-17 10:12:35

大蜘蛛1月11日病毒库断网：无提示，但正常启动未修改密码；
大蜘蛛联网：无提示，但正常启动未修改密码；
想说这个样本是不是有问题啊

[病毒样本] API用户锁整理及发布，来测试主防吧

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源