RAT (4/19) x1

显示全部楼层 · 发表于 2022-4-20 14:25:22

本帖最后由 anthonyqian 于 2022-4-21 09:35 编辑

昨天在微步上发现的样本，检测为“安全”，当时觉得文件名比较可疑就下载了，当时VT检测率为3/67，只有三家机器学习厂报毒了。

在大圣沙箱中检测为“中危”。

发送给卡巴斯基分析后回复不是恶意软件。BD回复也说文件安全。ESET没理我。

但是今天刷新了一下VT，瑞星云报毒了，检测为Backdoor.Cobaltstrike!8.11F7B (CLOUD)。

https://cowtransfer.com/s/6579770988054c

——————

双击 ESET+KART 全程missed

————
BD: 已经让AV Labs的同事再次分析了 => 还是觉得是clean的

=> 检测为 Trojan.Agent.FVHT
——————

卡巴再次分析后，检测为 Trojan.Win32.Agent

显示全部楼层 · 发表于 2022-4-20 15:08:44

本帖最后由 761773275 于 2022-4-20 15:19 编辑

这个一看就很可疑，上报给SOPHOS了

PS: 主防杀了，等了好久....这波怎么说？是护士误报了？还是BD和卡巴斯基拉了

显示全部楼层 · 发表于 2022-4-20 15:20:27

Intezer報可疑
https://analyze.intezer.com/analyses/573f55d1-1943-4494-86b6-121b2f3a721b/genetic-analysis

显示全部楼层 · 发表于 2022-4-20 15:25:12

761773275 发表于 2022-4-20 15:08
这个一看就很可疑，上报给SOPHOS了

PS: 主防杀了，等了好久....这波怎么说？是护士误报了？还是BD和卡巴 ...

还不错呀话说卡巴收到文件就十多分钟就回复了能看出个鬼 hh

显示全部楼层 · 发表于 2022-4-20 15:26:25

anthonyqian 发表于 2022-4-20 15:25
还不错呀话说卡巴收到文件就十多分钟就回复了能看出个鬼 hh

可能只是扔进自动机看了看没有可疑行为？

显示全部楼层 · 发表于 2022-4-20 15:29:10

Hibike 发表于 2022-4-20 15:26
可能只是扔进自动机看了看没有可疑行为？

不至于吧那也太随便啦

显示全部楼层 · 发表于 2022-4-20 15:33:18

本帖最后由 swizzer 于 2022-4-20 15:39 编辑

智量扫描miss
双击首先HIPS阻止关机（看起来是个活的远控），随后等待数分钟后ShellCode防护击杀本体和衍生物

6分钟后，自动机拉黑

显示全部楼层 · 发表于 2022-4-20 15:40:20

swizzer 发表于 2022-4-20 15:33
智量扫描miss
双击首先HIPS阻止关机（看起来是个活的远控），随后等待数分钟后ShellCode防护击杀本体和衍 ...

为啥每次你双击远控他们第一步都直接给你关机

显示全部楼层 · 发表于 2022-4-20 15:42:06

wwwab 发表于 2022-4-20 15:40
为啥每次你双击远控他们第一步都直接给你关机

要么是检测到虚拟机所以关机

~~要么就是我体质特殊~~

显示全部楼层 · 发表于 2022-4-20 15:45:56

swizzer 发表于 2022-4-20 15:33
智量扫描miss
双击首先HIPS阻止关机（看起来是个活的远控），随后等待数分钟后ShellCode防护击杀本体和衍 ...

其实，智量我昨天就上报了，但是它们都没理我

[病毒样本] RAT (4/19) x1

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源