#Magniber msi 1X (2022-05-21-01)

显示全部楼层 · 发表于 2022-5-21 19:38:01

本帖最后由 aboringman 于 2022-5-21 21:36 编辑

没有环境，只能压成压缩包看看安全大脑

实机双击（不建议这么做），执行监控击杀。

显示全部楼层 · 发表于 2022-5-21 19:38:12

大蜘蛛扫描miss

显示全部楼层 · 发表于 2022-5-21 19:39:40

SOPHOS

C:\Windows\System32\msiexec.exe 中的勒索软件已阻止

复制代码

显示全部楼层 · 发表于 2022-5-21 19:41:54

Jirehlov1234 发表于 2022-5-21 19:03
Event: Malicious object detected
User: JIREHLOV-RESEAR\Jireh
User type: Initiator

这启发能撑多久?以前给的通杀就坚持了一会

显示全部楼层 · 发表于 2022-5-21 19:50:01

本帖最后由 00006666 于 2022-5-21 20:01 编辑

bananas12138 发表于 2022-5-21 19:04
火绒扫描1x，360扫描miss
360拦截失败，貌似我的虚拟机启动不了核晶
火绒拦截失败

没开核晶肯定防不住，因为没开核晶不能拦截远程线程注入。

这个家族的样本只要开了核晶，目前这个家族变种是肯定可以拦截的。

类似以下的拦截，点击阻止后就直接结束样本进程了。

显示全部楼层 · 发表于 2022-5-21 19:51:47

anxiety520 发表于 2022-5-21 19:41
这启发能撑多久?以前给的通杀就坚持了一会

取决于magniber的作者是不是勤快

显示全部楼层 · 发表于 2022-5-21 19:56:06

bananas12138 发表于 2022-5-21 19:04
火绒扫描1x，360扫描miss
360拦截失败，貌似我的虚拟机启动不了核晶
火绒拦截失败

火绒的话可以尝试手动HIPS拦截，参考https://bbs.kafan.cn/thread-2235372-1-1.html，禁止C:\Windows\System32\msiexec.exe读HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\Microsoft Enhanced RSA and AES Cryptographic Provider\Type
注入不用管

显示全部楼层 · 发表于 2022-5-21 20:00:45

夜光星发表于 2022-5-21 19:38
大蜘蛛扫描miss

Dr.web的特征已经属于特别拉跨的了，以前启发击杀wannacry的神迹估计是表演不出来了

显示全部楼层 · 发表于 2022-5-21 20:37:03

AVAST
虚拟机双击miss，被加密！

显示全部楼层 · 发表于 2022-5-21 20:40:47

本帖最后由 bananas12138 于 2022-5-21 20:53 编辑

00006666 发表于 2022-5-21 19:50
没开核晶肯定防不住，因为没开核晶不能拦截远程线程注入。

这个家族的样本只要开了核晶，目前这个家族 ...

收到，多谢指点
不过我其实觉得普通用户看到报可疑还是会点允许

[病毒样本] #Magniber msi 1X (2022-05-21-01)

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源