#Magniber msi 1X(2022-06-01-01)

显示全部楼层 · 发表于 2022-6-1 16:32:31

本帖最后由 huangzihang 于 2022-6-2 23:02 编辑

Event: Malicious object detected
Component: Intrusion Prevention
Result description: Detected
Type: Trojan
Name: HEUR:Trojan-Ransom.Win64.Magni.gen
Threat level: High
Object path: C:\Users\huangzihang\Desktop\新建文件夹\System.Upgrade.Win10.0-KB40973214.msi//
Object name: x25ny4fv9c
Reason: Expert analysis
Databases release date: Today, 2022/6/1 9:56:00
MD5: EC2399F1F8F2D2127D1BC2FDC9446ECE

BD扫描MISS，不双击，肯定寄
BD2号终于入库了，上报催了好久，骚扰了n次技术支持, 不知道这次能不能做通杀

显示全部楼层 · 发表于 2022-6-1 16:33:37

本帖最后由 aboringman 于 2022-6-1 16:44 编辑

360：miss

双击击杀。。。。。。

时间操作说明次数
2022-05-23 19:55:44 [已清除] 发现木马：Trojan.Generic 防护 1 次
详细描述：
木马名称：Trojan.Generic
所在路径：C:\Users\123\Desktop\Magniber\System.Upgrade.Win10.0-KB40973214.msi
2022-05-23 19:55:42 [自动阻止] 进程创建防护 1 次
详细描述：
进程：C:\Windows\explorer.exe
动作：进程创建
路径：C:\Windows\System32\msiexec.exe
防护信息: AD|10, 10, 70||

复制代码

Now

D:\test\Magniber\System.Upgrade.Win10.0-KB40973214.msi Win64/Ransom.Generic.HnoASsgA 已删除

复制代码

显示全部楼层 · 发表于 2022-6-1 16:34:59

本帖最后由 Kingbatsoft 于 2022-6-1 17:10 编辑

ESET
时间;扫描程序;对象类型;对象;检测;操作;用户;信息;哈希;此处首次所见
2022/6/1 16:32:38;HTTP 过滤器;文件;https://bbs.kafan.cn/forum.php?m ... U5MjJ8MjIzNjI3MQ==;多个检测;连接已终止;AKINGBATSOFT\尝试通过应用程序访问 Web 时发生事件: C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe (03DF42F6A14936736BFA8FF07DF88CF8F873615E).;A0088A735F3C9659B1CFF784B7D807F7A8B4D26B;

智量开始双击没拦住日志如下

Time FilePath VirusName
2022-06-01 17:01:10 C:\Windows\System32\sihost.exe MEMRAY:MalThread.A0
2022-06-01 17:01:02 C:\Windows\System32\regsvr32.exe WIBD:HEUR.ByPassUAC.B21
2022-06-01 17:00:59 C:\Windows\System32\regsvr32.exe WIBD:HEUR.ByPassUAC.B21
2022-06-01 17:00:56 C:\Windows\System32\regsvr32.exe WIBD:HEUR.ByPassUAC.B21
2022-06-01 17:00:53 C:\Windows\System32\regsvr32.exe WIBD:HEUR.ByPassUAC.B21
2022-06-01 17:00:50 C:\Windows\System32\regsvr32.exe WIBD:HEUR.ByPassUAC.B21
2022-06-01 17:00:47 C:\Windows\System32\regsvr32.exe WIBD:HEUR.ByPassUAC.B21
2022-06-01 17:00:44 C:\Windows\System32\regsvr32.exe WIBD:HEUR.ByPassUAC.B21

复制代码

智量现在拦截样本

显示全部楼层 · 发表于 2022-6-1 16:36:15

ESET KILL

显示全部楼层 · 发表于 2022-6-1 16:38:09

本帖最后由 00006666 于 2022-6-1 16:51 编辑

双击实时监控隔离样本

趁TMP文件还没被拉黑，通过放行MSI，测试主防，成功拦截，拦截后MSI进程被结束，无任何文件被加密

显示全部楼层 · 发表于 2022-6-1 16:44:44

红伞扫描miss ,未双击

显示全部楼层 · 发表于 2022-6-1 16:52:49

00006666 发表于 2022-6-1 16:38
双击实时监控隔离样本

TMP实际上是可以杀的，我试过直接放行了。。。。。。

显示全部楼层 · 发表于 2022-6-1 16:54:46

aboringman 发表于 2022-6-1 16:52
TMP实际上是可以杀的，我试过直接放行了。。。。。。

我测试的时候还没被拉黑，看了下应该是我这里被拦截后自动上传云分析然后拉黑的，一开始TMP没被拉黑，放行MSI就可以测试。

显示全部楼层 · 发表于 2022-6-1 17:13:49

Kingbatsoft 发表于 2022-6-1 16:34
ESET
时间;扫描程序;对象类型;对象;检测;操作;用户;信息;哈希;此处首次所见
2022/6/1 16:32:38;H ...

@智量官方 @智量盾

[病毒样本] #Magniber msi 1X(2022-06-01-01)

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块