特别有意思的一个后门 129k 集加密下载注册服务 kill杀毒等等一身

显示全部楼层 · 发表于 2022-4-18 15:21:26

本帖最后由 wwwab 于 2022-4-19 18:03 编辑

ID=X&GUID=X&MAC=X&USER=X&VER=X&OS=X&BIT=X&CPU=X&CARD=NSK_DF6_&LIST=1,3&AV=&FROM=4&X=0&IT=X&_S=7596&md5=X&a=1&b=1&_T=X
ID=X&GUID=X&_T=XID=X&GUID=X&MAC=X&OS=X&BIT=X&_T=X

病毒会通过以上格式向服务器发送ID编号、GUID机器码、网卡MAC地址、系统权限、软件版本、系统版本、系统位数、CPU型号、访问时间日期、访问速度

然后释放了一堆svchost.exe、svhost.exe、scvhost.exe、taskmgr.exe、ttt.exe……仿冒系统程序，看了下基本上都是后门挖矿程序的模块和永恒之蓝漏洞利用器，并且基本上都拥有Shenzhen Smartspace Software technology Co.,Limited的无效数字签名

判断为“永恒之蓝下载器”木马，“驱动人生”病毒家族（此处辟一下谣，“驱动人生”病毒得名于该病毒家族一开始的传播方式是该家族几年前通过网站漏洞黑入了“驱动人生”软件升级服务器投放病毒导致大规模中招，并不是“驱动人生”软件的自身问题，该问题早就已经修复了）

病毒C&C服务器：
ii.haqo.net
pp.abbny.com
oo.beahh.com
i.haqo.net
dl.haqo.net
dl.haqo.net
p.abbny.com
o.beahh.com
loop.haqo.net
ii.haqo.net
ii.haqo.net
i.haqo.net

显示全部楼层 · 发表于 2022-4-18 15:25:44

卡巴 Trojan.Win32.Fsysna.ezky

显示全部楼层 · 发表于 2022-4-18 15:44:55

F-Secure Elements Agent

显示全部楼层 · 发表于 2022-4-18 16:34:25

MD
Trojan:Script/Sabsik.FL.A!ml

显示全部楼层 · 发表于 2022-4-18 17:23:08

EAM
2022/4/18 17:22:47
恶意软件 "Trojan.AgentWDCR.QGS (B)" 来自于 "D:\test\125\installed2.exe" 已隔离

显示全部楼层 · 发表于 2022-4-18 17:33:42

本帖最后由 huorong 于 2022-4-18 20:49 编辑

2345主防杀（报毒名360的，好家伙）

显示全部楼层 · 发表于 2022-4-18 18:21:26

比特梵德Gen:Win32.Malware.mqX@aCVB3rgi
360 https://ata.360.net/report/18997303914496/analyse

显示全部楼层 · 发表于 2022-4-18 18:23:30

显示全部楼层 · 发表于 2022-4-18 19:58:43

火绒

360

显示全部楼层 · 发表于 2022-4-18 20:33:17

rav解压自动清除

[病毒样本] 特别有意思的一个后门 129k 集加密下载注册服务 kill杀毒等等一身

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

[病毒样本] 特别有意思的一个后门 129k 集加密 下载 注册服务 kill杀毒 等等一身

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

[病毒样本] 特别有意思的一个后门 129k 集加密下载注册服务 kill杀毒等等一身