Jlaive-generated powershell x2

显示全部楼层 · 发表于 2022-5-18 21:31:38

本帖最后由 anthonyqian 于 2022-5-18 22:55 编辑

用Jlaive生成的扫描免杀脚本，原样本都已经是去年的了，新样本扫描VT 0检出。

说是可以绕过AMSI，可以双击玩玩看，应该大多数杀软都能杀吧。

ESET双击：

0e60fee9026174ac49efc284f9b641a1fc102642753a74b795b17b529b106efd.bat - 深度行为检测扫描程序 BH/GenKryptik.1 特洛伊木马已通过删除清除

323232.bat - 高级内存扫描程序系统内存 > 323232.bat.exe(13700) - MSIL/Spy.Agent.DFY 特洛伊木马的变量已包含被感染的文件 (下次重新启动后)

显示全部楼层 · 发表于 2022-5-18 21:34:36

360：0

均过安全大脑

显示全部楼层 · 发表于 2022-5-18 21:38:22

贴一下项目地址：https://github.com/ch2sh/Jlaive

这个免杀工具已经有在野实用了。

显示全部楼层 · 发表于 2022-5-18 21:44:36

卡巴被过，自己写的hips成功block

Event: Application Control was triggered
Component: Application Control
Result description: Blocked
Object path: C:\Sandbox\huangzihang\DefaultBox\user\current\Desktop
Object name: 323232.bat.exe
Reason: Operating system

显示全部楼层 · 发表于 2022-5-18 21:49:14

360 双击拦截powershell执行

显示全部楼层 · 发表于 2022-5-18 21:50:51

00006666 发表于 2022-5-18 21:49
360 双击拦截powershell执行

放行呢

显示全部楼层 · 发表于 2022-5-18 21:51:59

aboringman 发表于 2022-5-18 21:50
放行呢

没试过不知道，要不你那里测试一下

显示全部楼层 · 发表于 2022-5-18 21:53:40

本帖最后由 761773275 于 2022-5-18 21:58 编辑

SOPHOS 主防杀2X

已在 Windows PowerShell 中預防「AmsiRegistrationProtection」攻擊

复制代码

显示全部楼层 · 发表于 2022-5-18 22:04:33

本帖最后由 kuroandsan 于 2022-5-18 22:15 编辑

卡巴 2x
然而还是没过AMSI（（

sw日志

显示全部楼层 · 发表于 2022-5-18 22:05:35

McAfee 扫描双击均miss

[病毒样本] Jlaive-generated powershell x2

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源