#Signed #Downloader #Qbot(2022-03-02)

心心相印

bd miss all

anthonyqian

发给BD和卡巴看看

aboringman

Hibike 发表于 2022-3-2 23:11
静态检测集体翻车
虽然Cylance杀了，可惜Cylance是个误报大王...so...你懂的

我试着跑了下b814c645113619aba16234e892fd4cddf471a58c845fe18a0493a7ccd84b8de4.dll，发现后台有什么在下载东西，红伞杀了两衍生物。





发现红伞从隔离区还原文件会自动排除的，这可真是危险啊。。。。。。

Norton：miss

跑起来，等了很久，IPS发威。



丧心病狂



WD：miss

两个跑起来都触发了行为拦截（不杀本体）

1. Windows Defender 防病毒程序 检测到恶意软件或其他可能不需要的软件。
   
2. 有关详细信息，请参阅以下内容:
   
3. https://go.microsoft.com/fwlink/?linkid=37020&name=Behavior:Win32/QakBot.ZU&threatid=2147794478&enterprise=0
   
4.         名称: Behavior:Win32/QakBot.ZU
   
5.         ID: 2147794478
   
6.         严重性: 严重
   
7.         类别: 可疑行为
   
8.         路径: behavior:_pid:1184:23858809139574; process:_pid:1184,ProcessStart:132907185162440420
   
9.         检测起源: 未知
   
10.         检测类型: 实际
    
11.         检测源: 未知
    
12.         用户:
    
13.         进程名称: C:\Windows\SysWOW64\msra.exe
    
14.         安全智能版本: AV: 1.359.1237.0, AS: 1.359.1237.0, NIS: 1.359.1237.0
    
15.         引擎版本: AM: 1.1.18900.3, NIS: 1.1.18900.3

复制代码

、

1. Windows Defender 防病毒程序 检测到恶意软件或其他可能不需要的软件。
   
2. 有关详细信息，请参阅以下内容:
   
3. https://go.microsoft.com/fwlink/?linkid=37020&name=Behavior:Win32/QakBot.ZU&threatid=2147794478&enterprise=0
   
4.         名称: Behavior:Win32/QakBot.ZU
   
5.         ID: 2147794478
   
6.         严重性: 严重
   
7.         类别: 可疑行为
   
8.         路径: behavior:_pid:4284:23858809139574; process:_pid:4284,ProcessStart:132907181559114883
   
9.         检测起源: 未知
   
10.         检测类型: 实际
    
11.         检测源: 未知
    
12.         用户:
    
13.         进程名称: C:\Windows\SysWOW64\msra.exe
    
14.         安全智能版本: AV: 1.359.1237.0, AS: 1.359.1237.0, NIS: 1.359.1237.0
    
15.         引擎版本: AM: 1.1.18900.3, NIS: 1.1.18900.3

复制代码

Hibike

aboringman 发表于 2022-3-2 23:19
我试着跑了下b814c645113619aba16234e892fd4cddf471a58c845fe18a0493a7ccd84b8de4.dll，发现后台有什么在 ...

这种设计是避免反复报毒吧...倒也算合理？

ICzcz

netweb 发表于 2022-3-2 22:43
ESET miss

ELG呢？

ICzcz

ELG miss all

Hibike

AppGuard失败，样本成功注入explorer.exe






等了很久ESET内存防护终于出手了，杀衍生物@ICzcz

1. 时间;扫描程序;对象类型;对象;检测;操作;用户;信息;哈希;此处首次所见
   
2. 2022/3/3 0:11:32;高级内存扫描程序;文件;系统内存 > C:\Users\Dolphiner\AppData\Roaming\Microsoft\Stllqjlber\ktgcjxijczxnu.dll;Win32/Qbot.DD 特洛伊木马 的变量;已通过删除清除;;;1A517E95BF602355350AB4B737EFADBA3F844CB0;
   

复制代码

琳辰

ESET: 2/2

1afaa9ab2ee0c6e5a93b23b207295eb9c3b10d350c0bf190ea92abc0b5628837.dll - a variant of Win32/GenKryptik.FRLZ trojan
b814c645113619aba16234e892fd4cddf471a58c845fe18a0493a7ccd84b8de4.dll - a variant of Win32/GenKryptik.FRLZ trojan

kuroandsan

fs 扫描云杀1x

ICzcz

Hibike 发表于 2022-3-3 00:02
AppGuard失败，样本成功注入explorer.exe

有点好奇ESET清全了吗？