#Magniber msi 1X (2022-05-27-01)

显示全部楼层 · 发表于 2022-5-27 17:33:14

Jirehlov1234 发表于 2022-5-27 17:26
不是的。不过如果怕这种改变加密主体的情况，可以对所有程序禁止读那个键值，不过这样加密函数就谁都用不 ...

注入行为好像是这个家族目前来看比较普遍的特征。

显示全部楼层 · 发表于 2022-5-27 17:46:44

本帖最后由 00006666 于 2022-5-27 17:50 编辑

因为已经被360通过HASH云拉黑

通过MSI文件改哈希，TMP文件加入信任区的方式进行主防测试，此时实时监控已经不再报毒，主动防御成功拦截远程线程注入，无任何文件被加密，目前这个家族的所有变种应该都有这个远程线程注入行为。

TMP文件加入信任区

主防成功拦截远程线程注入，拦截后自动结束进程，无任何文件被加密

时间操作说明次数
2022-05-27 17:39:25 [已阻止] 远程线程注入防护 1 次
详细描述：
进程：C:\Windows\System32\msiexec.exe
动作：远程线程注入
路径：C:\Windows\System32\sihost.exe
风险文件：C:\Users\Administrator\Desktop\27d1053_plus_10_bytes.msi
防护信息: AD|40, 40, -1||

复制代码

时间操作说明次数
2022-05-27 17:39:34 [已阻止] 远程线程注入防护 1 次
详细描述：
进程：C:\Windows\System32\msiexec.exe
动作：远程线程注入
路径：C:\Windows\System32\svchost.exe
风险文件：C:\Users\Administrator\Desktop\27d1053_plus_10_bytes.msi
防护信息: AD|40, 40, -1||

复制代码

时间操作说明次数
2022-05-27 17:39:34 [自动处理] 结束进程防护 1 次
详细描述：
进程：C:\Windows\System32\msiexec.exe 13E5846A

复制代码

显示全部楼层 · 发表于 2022-5-27 17:56:24

jacksonsc 发表于 2022-5-27 16:21
火绒不是监控对msi漏毒嘛。。

我这里双击后全部被加密

显示全部楼层 · 发表于 2022-5-27 18:09:43

Jirehlov1234 发表于 2022-5-27 17:02
这版是真的猛。加密主体变成了rdpclip.exe。我那个HIPS规则针对这个更新了https://bbs.kafan.cn/thread-223 ...

有条件的话，你那里最好试试单独使用应用程序控制能不能识别到注入行为，有预感那个拦截规则可能没有作用……，最好测试一下。

显示全部楼层 · 发表于 2022-5-27 18:40:50

00006666 发表于 2022-5-27 10:09
有条件的话，你那里最好试试单独使用应用程序控制能不能识别到注入行为，有预感那个拦截规则可能没有作用 ...

看了一下，重启之后被破阵了，得在svhost的位置就拦下了才可以

，等会改进一下。
我不想管注入，一方面能拦的hips不多，一方面误报可太高了

显示全部楼层 · 发表于 2022-5-27 19:24:51

本帖最后由 00006666 于 2022-5-27 19:27 编辑

Jirehlov1234 发表于 2022-5-27 18:40
看了一下，重启之后被破阵了，得在svhost的位置就拦下了才可以，等会改进一下。
我不想管注入，一 ...

好像加密行为可能有sihost.exe参与。

显示全部楼层 · 发表于 2022-5-27 19:34:56

Jirehlov1234 发表于 2022-5-27 17:02
这版是真的猛。加密主体变成了rdpclip.exe。我那个HIPS规则针对这个更新了https://bbs.kafan.cn/thread-223 ...

sihost也会参与加密的。

显示全部楼层 · 发表于 2022-5-27 19:38:06

swizzer 发表于 2022-5-27 19:34
sihost也会参与加密的。

sihost.exe会参与的话，好像除了拦截注入就无解了………

显示全部楼层 · 发表于 2022-5-27 19:41:28

swizzer 发表于 2022-5-27 11:34
sihost也会参与加密的。

其实还有explorer.exe。重启后除非白名单不然没法拦。我得换个思路。。。

显示全部楼层 · 发表于 2022-5-27 20:14:01

drweb扫描 miss

[病毒样本] #Magniber msi 1X (2022-05-27-01)

本帖子中包含更多资源

本帖子中包含更多资源