MBRlock 1x

wwwab

易语言程序（而且，就连运行库都是直接释放几个Dll文件来储存的）
VMP加壳
有虚拟机检测
检测内核调试器（检测自身是否被调试），遍历系统当中驱动程序名称（可能是为了检测虚拟机或者杀毒软件），调用大量系统API（疑似可能为检测虚拟机），检测CPU时钟（可能是为了检测虚拟机），检测VMware的相关组件（为了检测虚拟机）

1. 行为描述：        直接调用系统关键API
   
2. 详情信息：       
   
3. Index = 0x0000009A, Name: NtQueryInformationProcess, Instruction Address = 0x025ED881
   
4. Index = 0x000000E5, Name: NtSetInformationThread, Instruction Address = 0x0263CACD
   
5. Index = 0x00000074, Name: NtOpenFile, Instruction Address = 0x025ED881
   
6. Index = 0x00000032, Name: NtCreateSection, Instruction Address = 0x0151E0FB
   
7. Index = 0x0000006C, Name: NtMapViewOfSection, Instruction Address = 0x015284F5
   
8. Index = 0x0000010B, Name: NtUnmapViewOfSection, Instruction Address = 0x0151E0FB
   
9. Index = 0x00000019, Name: NtClose, Instruction Address = 0x0151E0FB
   
10. Index = 0x00000019, Name: NtClose, Instruction Address = 0x015DB4CA
    
11. Index = 0x00000089, Name: NtProtectVirtualMemory, Instruction Address = 0x015284F5
    
12. 行为描述：        直接获取CPU时钟
    
13. 详情信息：       
    
14. EAX = 0xe00e172e, EDX = 0x000000bc
    
15. EAX = 0xe00e177a, EDX = 0x000000bc
    
16. EAX = 0xe00e17c6, EDX = 0x000000bc
    
17. EAX = 0xe00e1812, EDX = 0x000000bc
    
18. EAX = 0xe00e185e, EDX = 0x000000bc
    
19. EAX = 0xe00e18aa, EDX = 0x000000bc
    
20. EAX = 0xe00e18f6, EDX = 0x000000bc
    
21. EAX = 0xe00e1942, EDX = 0x000000bc
    
22. EAX = 0xe00e198e, EDX = 0x000000bc
    
23. EAX = 0xe00e19da, EDX = 0x000000bc
    
24. 行为描述：        VMWare特殊指令检测虚拟机
    
25. 详情信息：       
    
26. N/A

复制代码

调用Sleep函数（疑似可能有睡眠。可能是为了躲避分析，逃避云沙箱）

ANY.LNK

MS Defender：目前下载报告为Trojan:Win32/Sabsik.FL.B!ml

846472713

费尔、G DATA安全

aoqiwsw

Kaspersky kill

yjwfdc

没有测试出恶意行为。

正在缓冲

Avast miss，上报

ICzcz

ESET入库杀：11分钟就回信了

看看压缩包名为KillMBR的威力@Eset小粉絲 @netweb @vaedzy

Dear ICzcz,

Thank you for your submission.
The detection for this threat will be included in the next update of detection engine, expected version: 24667.

_____.exe - Win32/MBRlock.BC trojan

Regards,

ESET Malware Response Team

netweb

ICzcz 发表于 2022-1-23 19:05
ESET入库杀：11分钟就回信了

看看压缩包名为KillMBR的威力@Eset小粉絲 @netweb @vaedzy

killmbr果然强呀，可以让eset分析师加班干活。
eset不增加mbr/gpt防护，也不修hips可能还是性能问题。

---

生如夏花之绚烂，死如秋叶之静美  
2022/1/23 下午8:09:46
bye  
From The Amazing Artifact：Netscape         

ICzcz

wwwab 发表于 2022-1-23 12:07
易语言程序（而且，就连运行库都是直接释放几个Dll文件来储存的）
VMP加壳
有虚拟机检测

感觉像是从微步搞来的

ICzcz

netweb 发表于 2022-1-23 19:09
killmbr果然强呀，可以让eset分析师加班干活。
eset不增加mbr/gpt防护，也不修hips可能还是性能问题。
...

可能是他们知道自己的hips坏了，所以好好入库