#Magniber msi 1X(2022-06-01-01)

显示全部楼层 · 发表于 2022-6-1 19:33:52

swizzer 发表于 2022-6-1 19:29
你要是不明白啥叫Direct System Calls，我建议你去找文章读一读

要么再说明白一点，智量不拦截 ...

命令行删除卷影还原点不是一个dll操作的嘛

显示全部楼层 · 发表于 2022-6-1 19:35:07

wwwab 发表于 2022-6-1 19:33
命令行删除卷影还原点不是一个dll操作的嘛

你不知道那个dll是由regsvr32/rundll32加载的吗

要不你看看是谁调用的regsvr32/rundll32？

显示全部楼层 · 发表于 2022-6-1 19:36:38

swizzer 发表于 2022-6-1 19:35
你不知道那个dll是由regsvr32/rundll32加载的吗

要不你看看是谁调用的regsvr32/rundll32？

我还是第一次见到火绒HIPs拦截发起程序是一个dll文件，“结束进程”按钮都是灰色的

（同样也是第一次见到文件实时监控还能有这种问题和智量没有拦住勒索病毒

）

显示全部楼层 · 发表于 2022-6-1 19:39:13

还是magniber能够让人大开眼界啊，背后团队真强

显示全部楼层 · 发表于 2022-6-1 19:41:19

wwwab 发表于 2022-6-1 19:39
还是magniber能够让人大开眼界啊，背后团队真强

magniber好像并没有用啥新技术，用的都是几年前就公开的技术，只是以往这种攻击方式比较少见，没有大面积样本出现。

显示全部楼层 · 发表于 2022-6-1 19:44:07

00006666 发表于 2022-6-1 19:41
magniber好像并没有用啥新技术，用的都是几年前就公开的技术，只是以往这种攻击方式比较少见，没有大面积 ...

msi这玩意，难搞哦

还是不清楚msi里面都是二进制文件，不是可执行文件

是怎么让msiexec做成勒索的

显示全部楼层 · 发表于 2022-6-1 19:45:13

wwwab 发表于 2022-6-1 19:36
我还是第一次见到火绒HIPs拦截发起程序是一个dll文件，“结束进程”按钮都是灰色的

（同样也是 ...

虽然你第一次见火绒这样，但是这并不值得惊讶···

360（甚至智量）都是可以识别到行为发起源头的，所以你会看到360提示一个msi文件在执行xx操作，智量提示一个dll在加载驱动（白加黑Rtk那个帖子里的样本）

至于这个样本智量为什么没拦住，答案就是我说的Direct System Calls

当然以后估计还有更多使用其他技术绕过R3 Hook的样本出现。
https://cloud.tencent.com/developer/article/1794090
有兴趣了可以看看这篇文章

显示全部楼层 · 发表于 2022-6-1 19:48:27

swizzer 发表于 2022-6-1 19:45
虽然你第一次见火绒这样，但是这并不值得惊讶···

360（甚至智量）都是可以识别到行为发起源 ...

这种文章，不得喊6哥过来一起看，6哥就喜欢看这种东西@00006666

显示全部楼层 · 发表于 2022-6-1 19:51:40

@hushuai @心心相印二位有没有BD双击MISS的日志，BD技术支持要我上传，我暂时还没有

显示全部楼层 · 发表于 2022-6-1 19:53:08

huangzihang 发表于 2022-6-1 19:51
@hushuai @心心相印二位有没有BD双击MISS的日志，BD技术支持要我上传，我暂时还没有

bd不是次次都miss+miss

[病毒样本] #Magniber msi 1X(2022-06-01-01)