#Signed #Downloader #Qbot(2022-03-02)

显示全部楼层 · 发表于 2022-3-3 08:26:03

ICzcz 发表于 2022-3-3 08:08
有点好奇ESET清全了吗？

大概...清除完全吧

显示全部楼层 · 发表于 2022-3-3 09:21:58

本帖最后由 anthonyqian 于 2022-3-3 15:10 编辑

BD：

The files are malicious and detection will be added in the next couple of updates.

卡巴：

New malicious software was found in the attached files:
1afaa9ab2ee0c6e5a93b23b207295eb9c3b10d350c0bf190ea92abc0b5628837.dll_ - HEUR:Trojan.Win32.Agentb.gen b814c645113619aba16234e892fd4cddf471a58c845fe18a0493a7ccd84b8de4.dll_ - HEUR:Trojan.Win32.Agentb.gen Its detection will be included in the next update.

咖啡上报后VT上拉黑了全部两个，实际扫还剩一个1afaa9ab2ee0c6e5a93b23b207295eb9c3b10d350c0bf190ea92abc0b5628837（现在这个也杀了）。

ESET上报后没回复我，但看别人应该拉黑了。

赛门铁克昨天上报也拉黑了，可能是C杀吧。

显示全部楼层 · 发表于 2022-3-3 12:12:59

Hibike 发表于 2022-3-3 00:02
AppGuard失败，样本成功注入explorer.exe

ESET的hips最不怕注入

显示全部楼层 · 发表于 2022-3-3 12:14:09

generalbasic008 发表于 2022-3-3 12:12
ESET的hips最不怕注入

然而需要另外写规则。默认规则下根本不拦截

显示全部楼层 · 发表于 2022-3-3 12:16:05

Hibike 发表于 2022-3-3 12:14
然而需要另外写规则。默认规则下根本不拦截

是的，eset默认不保护explorer,只保护 smss,lass,等几个进程。

显示全部楼层 · 发表于 2022-3-3 12:22:43

火绒扫描miss
360扫描miss

显示全部楼层 · 发表于 2022-3-3 13:29:24

Hibike 发表于 2022-3-2 23:11
静态检测集体翻车
~~虽然Cylance杀了，可惜Cylance是个误报大王...so...你懂的~~

有趣，现在大厂都拉黑了，结果根据VT，最先报的Cylance却不报了

显示全部楼层 · 发表于 2022-3-3 16:03:39

anthonyqian 发表于 2022-3-3 13:29
有趣，现在大厂都拉黑了，结果根据VT，最先报的Cylance却不报了

估计Cylance是真的当成误报处理掉了

显示全部楼层 · 发表于 2022-3-3 21:11:20

ICzcz 发表于 2022-3-2 23:32
ELG呢？

昨天过了5分钟还是没有返回结果，就去睡觉了

显示全部楼层 · 发表于 2022-3-3 21:29:00

Hello,

These files are already detected by our internal bases:
1afaa9ab2ee0c6e5a93b23b207295eb9c3b10d350c0bf190ea92abc0b5628837 - HEUR:Trojan.Win32.Agentb.gen
b814c645113619aba16234e892fd4cddf471a58c845fe18a0493a7ccd84b8de4 - HEUR:Trojan.Win32.Agentb.gen
Detection will be included in the next update.

Best regards, Maxim Starodubov, Malware analyst, Kaspersky Lab

[病毒样本] #Signed #Downloader #Qbot(2022-03-02)