Magniber ransomware x1

显示全部楼层 · 发表于 2022-5-20 00:27:45

本帖最后由 00006666 于 2022-5-20 00:36 编辑

编辑

显示全部楼层 · 发表于 2022-5-20 00:29:07

00006666 发表于 2022-5-19 10:27
双击运行不会拦截

https://bbs.kafan.cn/forum.php?mod=redirect&goto=findpost&ptid=2235336&pid=5 ...

反馈了，是实时监控对msi文件处理的问题，工程师说在搞，等引擎更新

显示全部楼层 · 发表于 2022-5-20 00:30:28

Jerry.Lin 发表于 2022-5-20 00:29
反馈了，是实时监控对msi文件处理的问题，工程师说在搞，等引擎更新

TMP那个文件的监控好像也很奇怪，监控查杀了，不过查杀的时候已经注入了。

显示全部楼层 · 发表于 2022-5-20 00:30:33

00006666 发表于 2022-5-19 23:09
所以我今天发现Magniber能绕过很多杀软的最大原因就是远程线程注入，后面都是被注入白程序在执行加密文件 ...

我觉得问题倒不在于注入，因为核心的文件加密行为都是由msiexec.exe完成的···

可能只是因为没识别到勒索行为的发起来源吧

显示全部楼层 · 发表于 2022-5-20 00:31:27

本帖最后由 00006666 于 2022-5-20 00:32 编辑

编辑

显示全部楼层 · 发表于 2022-5-20 00:33:38

00006666 发表于 2022-5-20 00:31
360仅仅是拦截注入后，样本就没有行为了，我感觉核心行为就是注入。

反正我拿火绒剑跟了下，没看到写入目标进程内存就已经开始加密了

注入那一处，我觉得更像是msiexec.exe访问了相应的COM接口···

显示全部楼层 · 发表于 2022-5-20 00:35:45

本帖最后由 00006666 于 2022-5-20 00:37 编辑

swizzer 发表于 2022-5-20 00:33
反正我拿火绒剑跟了下，没看到写入目标进程内存就已经开始加密了

注入那一处，我觉得更像是msiexec.ex ...

看到了，360那边是有一个结束进程，其实是360去结束msiexec.exe进程，不过没有明显弹窗提示，我刚刚看错了…… 一开始看成是样本拦截注入后就自我退出了。

原来360那个是拦截注入的同时就自动结束进程，然后这个样本的这个行为比较靠前，就刚刚好能拦截了……

显示全部楼层 · 发表于 2022-5-20 00:39:52

00006666 发表于 2022-5-19 10:30
TMP那个文件的监控好像也很奇怪，监控查杀了，不过查杀的时候已经注入了。

火绒采取的监控模式是non-blocking, 就是说还没扫描完就默认放行，等扫出恶意了才删除文件+结束进程。

我的推测是由于是注入msiexec导致火绒没有跟踪到这个恶意TMP文件对应的是哪个进程，或者是msiexec在白名单里，于是就只删除了TMP没结束msiexec就悲剧了

显示全部楼层 · 发表于 2022-5-20 00:40:31

Jerry.Lin 发表于 2022-5-20 00:39
火绒采取的监控模式是non-blocking, 就是说还没扫描完就默认放行，等扫出恶意了才删除文件+结束进程。

...

看楼上分析，好像和注入没关系…… 我理解错了

显示全部楼层 · 发表于 2022-5-20 00:43:51

00006666 发表于 2022-5-20 00:35
看到了，360那边是有一个结束进程，其实是360去结束msiexec.exe进程，不过没有明显弹窗提示，我刚刚看错 ...

仔细看了下，样本是通过SetThreadContext操作svchost，让svchost启动rundll32加载一个叫scrobj.dll的dll，用来删除卷影复制。

其实这一步是跟加密几乎同时进行的。

[病毒样本] Magniber ransomware x1