［已解决］疑似病毒文件

Kingbatsoft

1

swizzer

anthonyqian 发表于 2022-5-21 23:27
好的 文件来源有了 C2就是S同学截图里那个吗？
远控画面是真的吗……

JoeSandbox上有这个样本的报告。
https://www.joesandbox.com/analysis/999080

智量官方

swizzer 发表于 2022-5-21 21:19
成功与C&C通信。智量内存防护无反应。

@智量官方

你好，该样本未发现远控功能，Powershell代码作用是获取系统目录路径




样本是minecraft外{过}{滤}挂

swizzer

智量官方 发表于 2022-5-21 23:46
你好，该样本未发现远控功能，Powershell代码作用是获取系统常见目录路径

感谢解答

那么样本的外联是为何呢···而且从截图来看是有一定的下行流量的

智量官方

swizzer 发表于 2022-5-21 23:54
感谢解答

那么样本的外联是为何呢···而且从截图来看是有一定的下行流量的

样本会连接 https://gitee.com/*********
校验外{过}{滤}挂用户名，密码有效性

智量官方

实际执行, 解密Powershell代码的作用确实是获取目录路径, 与分析结果一致,

& {
[Console]::OutputEncoding = [System.Text.Encoding]::UTF8
Add-Type @"
using System;
using System.Runtime.InteropServices;
public class Dir {
  [DllImport("shell32.dll")]
  private static extern int SHGetKnownFolderPath([MarshalAs(UnmanagedType.LPStruct)] Guid rfid, uint dwFlags, IntPtr hToken, out IntPtr pszPath);
  public static string GetKnownFolderPath(string rfid) {
    IntPtr pszPath;
    if (SHGetKnownFolderPath(new Guid(rfid), 0, IntPtr.Zero, out pszPath) != 0) return "";
    string path = Marshal.PtrToStringUni(pszPath);
    Marshal.FreeCoTaskMem(pszPath);
    return path;
  }
}
"@
[Dir]::GetKnownFolderPath("5E6C858F-0E22-4760-9AFE-EA3317B67173")
[Dir]::GetKnownFolderPath("3EB685DB-65F9-4CF6-A03A-E3EF65729F3D")
[Dir]::GetKnownFolderPath("F1B32785-6FBA-4FCF-9D55-7B8E7F157091")
}

Kingbatsoft

智量官方 发表于 2022-5-22 00:01
实际执行, 解密Powershell代码的作用确实是获取目录路径, 与分析结果一致,

& {

那有可能就是360报错了

智量官方

Kingbatsoft 发表于 2022-5-22 00:02
那有可能就是360报错了

Apache log4j 漏洞利用据我们行为遥测分析，大部分确实具有jar->启动Powershell命令行的异常行为链。
360应该是写了条规则所有java启动powershell可疑命令行的行为都是apache log4j  漏洞利用。。。

多变的风向

360现在开了晶核之后就是什么都拦 没有它不拦的

anthonyqian

ESET决定添加检测：

The detection for this threat will be included in the next update of detection engine, expected version: 25307.

Suspicious jar.jar - Java/Agent.OX trojan

@Eset小粉絲