［已解决］疑似病毒文件

显示全部楼层 · 发表于 2022-5-21 23:21:32

00006666 发表于 2022-5-21 23:15
调用POWERSHELL是肯定有的行为，毕竟前面360和智量都有记录到这种行为，这类的一般不太可能是误报。

关键是调用powershell是否是恶意的

显示全部楼层 · 发表于 2022-5-21 23:21:41

anthonyqian 发表于 2022-5-21 23:13
我当然一开始就说样本是一个 Suspected RAT了，估计是他们那边没跑出RAT的行为，才来问的

21L用大圣沙箱扫出来了
https://sandbox.riskivy.com/reportDetail?fileSha1=dc53deaa3b02534cead9e371010e00f91e229b50

显示全部楼层 · 发表于 2022-5-21 23:22:48

00006666 发表于 2022-5-21 23:15
调用POWERSHELL是肯定有的行为，毕竟前面360和智量都有记录到这种行为，这类的一般不太可能是误报。

显示全部楼层 · 发表于 2022-5-21 23:22:49

anthonyqian 发表于 2022-5-21 23:21
关键是调用powershell是否是恶意的

显示全部楼层 · 发表于 2022-5-21 23:24:29

Kingbatsoft 发表于 2022-5-21 23:21
21L用大圣沙箱扫出来了
https://sandbox.riskivy.com/reportDetail?fileSha1=dc53deaa3b02534cead9e3710 ...

大圣的结果都不能当一回事…

显示全部楼层 · 发表于 2022-5-21 23:26:21

anthonyqian 发表于 2022-5-21 23:24
大圣的结果都不能当一回事…

主要是那人往mc挂群里大范围发的，而且明目张胆展示远控画面，甚至宣成还能远程抹除硬盘

显示全部楼层 · 发表于 2022-5-21 23:27:41

Kingbatsoft 发表于 2022-5-21 23:26
主要是那人往mc挂群里大范围发的，而且明目张胆展示远控画面，甚至宣成还能远程抹除硬盘

好的文件来源有了 C2就是S同学截图里那个吗？
远控画面是真的吗……

显示全部楼层 · 发表于 2022-5-21 23:28:34

Kingbatsoft 发表于 2022-5-21 23:26
主要是那人往mc挂群里大范围发的，而且明目张胆展示远控画面，甚至宣成还能远程抹除硬盘

如果有C2连接，那一般基本是恶意软件了。

显示全部楼层 · 发表于 2022-5-21 23:28:57

anthonyqian 发表于 2022-5-21 23:27
好的文件来源有了 C2就是S同学截图里那个吗？
远控画面是真的吗……

是真的，我可以提供截图，你加我QQ2641057780

显示全部楼层 · 发表于 2022-5-21 23:29:40

Kingbatsoft 发表于 2022-5-21 23:28
是真的，我可以提供截图，你加我QQ2641057780

不用QQ 发回复里就好了哈哈

[可疑文件] ［已解决］疑似病毒文件