利用W32Time服务TimeProviders开机启动的后门病毒1x

显示全部楼层 · 发表于 2022-6-13 20:31:24

双击样本（infected）：https://free.lanzoub.com/iFfXR06cspyb

样本来源：浏览器主页劫持后门母体1x

显示全部楼层 · 发表于 2022-6-13 20:39:10

毒霸扫描miss

显示全部楼层 · 发表于 2022-6-13 20:40:53

速度还挺快，当时测的时候还不报的说

2022-06-13 20:37:23 恶意软件(Win64/Trojan.Generic.HggAStQA)MD5:c5e683aca015648ebd8a9264d4c4a453已删除此文件，如果您发现误删，可从隔离区恢复此文件。 d:\360极速浏览器x下载\ntpservice\ntpservice.dll

复制代码

显示全部楼层 · 发表于 2022-6-13 20:46:38

毒霸扫描Miss
360云

文件目录：C:\Users\FengMu\Desktop\NtpService\NtpService.dll
木马名称:Win64/Trojan.Generic.HggAStQA
处理方法：删除
查杀引擎：360_Safe_center-Cloud

复制代码

显示全部楼层 · 发表于 2022-6-13 20:47:53

kaspersky

Event: Object deleted
User: GP76\Xzz123
User type: Active user
Application name: WinRAR.exe
Application path: C:\Program Files\WinRAR
Component: File Anti-Virus
Result description: Deleted
Type: Trojan
Name: UDS:Trojan.Win64.Throwback.er
Precision: Exactly
Threat level: High
Object type: File
Object name: NtpService.dll
Object path: E:\virus\NtpService
MD5 of an object: C5E683ACA015648EBD8A9264D4C4A453

显示全部楼层 · 发表于 2022-6-13 20:55:50

fs miss

显示全部楼层 · 发表于 2022-6-13 20:58:59

EMSI
2022/6/13 20:58:02
行为监控检测可疑行为 "ServiceInstallation" 来自于 C:\Users\VMware\Desktop\NtpService\1.reg (SHA1: 2514331F4DD2C7A58049701431D2EA1FF9909456)

2022/6/13 20:58:04
通知： "在以下程序中发现了可疑行为： C:\Users\VMware\Desktop\NtpService\1.reg" .

2022/6/13 20:58:11
用户 "\VMware" 点击 "好的"

显示全部楼层 · 发表于 2022-6-13 21:06:01

ESSP miss

显示全部楼层 · 发表于 2022-6-13 21:15:02

crowdstrike miss？运行bat時說找不到文件

显示全部楼层 · 发表于 2022-6-13 21:34:11

LeeHS 发表于 2022-6-13 21:15
crowdstrike miss？运行bat時說找不到文件

自解压包的方便点：https://free.lanzoub.com/iogrl06cwuvc

[病毒样本] 利用W32Time服务TimeProviders开机启动的后门病毒1x

本帖子中包含更多资源

浏览过的版块