#Magniber msi 1X (2022-05-23-01)

显示全部楼层 · 发表于 2022-5-23 13:12:18

vaedzy 发表于 2022-5-23 11:51

好图，收了

显示全部楼层 · 发表于 2022-5-23 13:42:11

huangzihang 发表于 2022-5-23 00:11
你要不放多点点文件，给虚拟机分配的性能多一点，开启虚拟化，我真好奇ATD会在加密多少的时候响应

ATD一秒响应，但Magniber这加密方式明显不是典型的加密，文件是在ATD反应后的几秒内加密的。

显示全部楼层 · 发表于 2022-5-23 13:58:20

huangzihang 发表于 2022-5-23 00:11
你要不放多点点文件，给虚拟机分配的性能多一点，开启虚拟化，我真好奇ATD会在加密多少的时候响应

这回我开了虚拟化，又放了200多张图片，依然秒加密

显示全部楼层 · 发表于 2022-5-23 14:09:13

hushuai 发表于 2022-5-23 11:50
BDTS，ATD：我杀了，文件：被加密了。
此处无声胜有声

ATD杀了谁？只要没有关掉msiexec进程就是杀了个寂寞

显示全部楼层 · 发表于 2022-5-23 14:17:45

本帖最后由 hushuai 于 2022-5-23 01:19 编辑

杀了很多可疑动作，截图都截不过来，不过肯定是没关msiexec的。这样看ATD除了加密本身其他的行为都杀了

显示全部楼层 · 发表于 2022-5-23 14:25:19

hushuai 发表于 2022-5-23 14:17
杀了很多可疑动作，截图都截不过来，不过肯定是没关msiexec的。这样看ATD除了加密本身其他的行为都杀了[:15 ...

这个可以靠限制受信任软件的一些高危操作来阻止加密，就像卡巴主防能发现这是个利用漏洞的病毒，但依旧无法回滚操作

显示全部楼层 · 发表于 2022-5-23 14:27:08

eset 扫描结果
Log
C:\Users\123\OneDrive\桌面\System.Upgrade.Win10.0-KB32313292.msi » MSI » Binary.d7i13zq435 - a variant of Win32/Injector.ERRA trojan - deleted
C:\Users\123\OneDrive\桌面\System.Upgrade.Win10.0-KB32313292.msi » MSI » [5]DigitalSignature - Win32/GenCBL.CBW trojan - deleted

显示全部楼层 · 发表于 2022-5-23 14:40:56

hushuai 发表于 2022-5-23 14:17
杀了很多可疑动作，截图都截不过来，不过肯定是没关msiexec的。这样看ATD除了加密本身其他的行为都杀了[:15 ...

真的服这些大厂了，加个针对magniber的规则会死吗

这个毒并不是完全就不能行为识别啊，智量早就加了针对magniber的规则

显示全部楼层 · 发表于 2022-5-23 14:42:44

hushuai 发表于 2022-5-23 14:17
杀了很多可疑动作，截图都截不过来，不过肯定是没关msiexec的。这样看ATD除了加密本身其他的行为都杀了[:15 ...

这堆是注入后的善后工作，加密还是靠msiexec。看来atd还是不敢直接杀msiexec。

显示全部楼层 · 发表于 2022-5-23 14:46:31

lvseqiji 发表于 2022-5-23 01:40
真的服这些大厂了，加个针对magniber的规则会死吗
这个毒并不是完全就不能行为识别啊，智量早就加 ...

BD甚至不想加通杀规则，甚至甚至云杀都得等半天到一天，甚至甚至甚至大前天的那个免杀Magniber到现在还没杀

[病毒样本] #Magniber msi 1X (2022-05-23-01)

本帖子中包含更多资源