查看: 3271|回复: 43
收起左侧

[病毒样本] API用户锁整理及发布,来测试主防吧

  [复制链接]
火绒爃
发表于 2022-1-17 09:49:23 | 显示全部楼层 |阅读模式
本帖最后由 火绒爃 于 2022-2-2 22:31 编辑

这类改用户密码的程序不是通过运行net.exe对密码进行更改,而是采用更底层的直接调用netapi.dll的NetUserSetInfo等有关函数直接对密码进行修改,杀软很难拦截,金山毒霸和360在文章中均提到过这种新的“敲竹杠”技术,并指出最新版本可以成功防护,但我在测试过程中发现并不能防御,在各种云沙箱中只有哈勃可以分析出密码,以下对本论坛的相关样本进行整理介绍:
https://bbs.kafan.cn/thread-2203847-1-1.html
易语言样本
本样本为逆向大牛(网名烛火)所写,本质上是一个另类的Crack me,加了vmp壳并置入了VM代码,及各种反调试代码和虚拟机检测(防止云沙箱分析出密码)用于逆向研究,据说火绒的工程师未能分析出密码


https://bbs.kafan.cn/thread-1808598-1-1.html
VB样本
本样本为本论坛深山红叶发布,用于测试杀软主防,许多老牌大佬都参与了测试
https://bbs.kafan.cn/thread-2215236-1-1.html
C#样本
本样本为卡饭聚星团成员henry217制作,用于免杀和主防测试,智量官人参与讨论
金山毒霸对该技术的介绍http://scitech.people.com.cn/n/2013/1118/c1057-23579963.html360对该技术的介绍
https://blogs.360.cn/post/qiaozhugang.html
接下来公布我拿到的样本,本样本为网友凡尘叶落在我的怂恿下编译的C++样本,此前未公开,欢迎大家虚拟机双击测试讨论,如拉黑建议锁库测试主防。



本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
BE_HC
发表于 2022-1-17 16:18:28 | 显示全部楼层
这个用API Monitor这种单步API HIPS可解



日记
下载:https://haibersut.lanzouj.com/iUfzDywgiqb 密码:884o

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
BE_HC
发表于 2022-1-17 23:26:03 | 显示全部楼层
本帖最后由 BE_HC 于 2022-1-18 12:27 编辑

目前随意看了下密码应该是跟时间挂钩的,基本上解锁无望



我用虚拟机测试了一下调到23:20:30生成的两次密码和用户名都是一样的

按照IDA给的代码写了试一下

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
Hacker-云
发表于 2022-1-17 09:50:19 | 显示全部楼层
本帖最后由 Hacker-云 于 2022-1-17 09:51 编辑

智量,KIS,仅扫描占位。没有虚拟机不敢双击。大佬们当个参考。
2022年1月17日09:51:50


本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
正在缓冲
头像被屏蔽
发表于 2022-1-17 09:54:25 | 显示全部楼层
本帖最后由 正在缓冲 于 2022-1-17 11:37 编辑

Avast启用上报大法
放弃双击测试,虚拟机有问题
NICO-COOPER
发表于 2022-1-17 09:57:56 | 显示全部楼层
本帖最后由 NICO-COOPER 于 2022-1-17 11:51 编辑

Emsisoft扫描&双击miss,重启一下看看效果双击和管理员权限各运行一遍,虚拟机挂了,打包上报
更新,新样本双击未锁,管理员运行账户被锁,打包上报
LeeHS
发表于 2022-1-17 09:58:38 | 显示全部楼层
crowdstrike 解压杀

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
846472713
发表于 2022-1-17 10:01:18 | 显示全部楼层
本帖最后由 846472713 于 2022-1-17 10:03 编辑

费尔、G DATA安全
火绒爃
 楼主| 发表于 2022-1-17 10:06:17 | 显示全部楼层
难道真的如智量官人所言,没有什么好的防御办法了吗

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
东南大学
发表于 2022-1-17 10:08:43 | 显示全部楼层
大蜘蛛、小红伞扫描Miss
火绒爃
 楼主| 发表于 2022-1-17 10:09:12 | 显示全部楼层
本帖最后由 火绒爃 于 2022-1-17 10:22 编辑

编辑
ikochina
头像被屏蔽
发表于 2022-1-17 10:12:35 | 显示全部楼层
大蜘蛛1月11日病毒库断网:无提示,但正常启动未修改密码;
大蜘蛛联网:无提示,但正常启动未修改密码;
想说这个样本是不是有问题啊
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-3-28 23:11 , Processed in 0.134193 second(s), 19 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表