#Powershell #Agenttesla (2022-01-30)

显示全部楼层 · 发表于 2022-2-4 15:59:49

md miss

显示全部楼层 · 发表于 2022-2-4 16:39:15

fsp扫描miss

显示全部楼层 · 发表于 2022-2-4 16:44:08

同样的dll内存加载
下载下来的2个base64编码的dll

显示全部楼层 · 发表于 2022-2-4 17:02:14

ANY.LNK 发表于 2022-2-4 16:44
同样的dll内存加载
下载下来的2个base64编码的dll

360杀毒好神奇的，原帖PS1文件没有报毒，那两文件扩展名TXT也没有报毒，改扩展名DLL也没有报毒，改成扩展名PS1就实时监控隔离文件了

显示全部楼层 · 发表于 2022-2-4 17:10:17

00006666 发表于 2022-2-4 17:02
360杀毒好神奇的，原帖PS1文件没有报毒，那两文件扩展名TXT也没有报毒，改扩展名DLL也没有报毒，改成扩展 ...

base64编码成脚本了，解码后才能得到dll文件。不过360对扩展名为ps1这类的脚本会比较敏感。那个报毒名是QEX引擎报毒，这个引擎的实时监控策略比较奇怪，，我之前遇到过扫描报毒查看文件内容不报毒，改扩展名后双击才报毒的情况。似乎对是否为风险脚本判断策略的问题

显示全部楼层 · 发表于 2022-2-4 17:39:58

ANY.LNK 发表于 2022-2-4 17:10
base64编码成脚本了，解码后才能得到dll文件。不过360对扩展名为ps1这类的脚本会比较敏感。那个报毒名是Q ...

那这引擎抽风的时候是不是就随时哑火

显示全部楼层 · 发表于 2022-2-4 17:44:52

wwwab 发表于 2022-2-4 17:39
那这引擎抽风的时候是不是就随时哑火

不知道，之前有个扫描报毒的文件双击后没有报，不过那个应该是个误报，不过还是小心些为妙

显示全部楼层 · 发表于 2022-2-5 16:57:40

Avast
Other:Malware-gen[Trj]

显示全部楼层 · 发表于 2022-2-7 15:42:04

360 双击 miss

[病毒样本] #Powershell #Agenttesla (2022-01-30)