木马程序 TA578 THREAD-HIJACKED EMAILS PUSH BUMBLEBEE OR ICEDID

显示全部楼层 · 发表于 2022-6-14 22:49:52

00006666 发表于 2022-6-14 22:47
没有白文件，全部都是带分析报告的样本，不过杀软如果不报邮件可以理解。

lnk的目的似乎只是为了加载dll，沙盒分析显示dll加载失败（缺少文件）就自退了。这个逻辑和白加黑差不多，唯一的区别可能是这个lnk的作者是为了恶意加载dll

显示全部楼层 · 发表于 2022-6-14 22:53:09

huangzihang 发表于 2022-6-14 22:49
lnk的目的似乎只是为了加载dll，沙盒分析显示dll加载失败（缺少文件）就自退了。这个逻辑和白加黑差不多 ...

DLL被隔离后那些快捷方式确实没啥用

显示全部楼层 · 发表于 2022-6-14 23:00:51

huangzihang 发表于 2022-6-14 22:18
BD 3x

其他样本是白文件，提示缺少dll无法运行（移动到隔离区）

十楼的附件 IOC里面有关于每个样本的描述

显示全部楼层 · 发表于 2022-6-14 23:02:32

00006666 发表于 2022-6-14 23:00
十楼的附件 IOC里面有关于每个样本的描述

能双击的都双击了，这种非pe样本测起来实在是太费劲了

显示全部楼层 · 发表于 2022-6-14 23:09:58

[病毒样本] 木马程序 TA578 THREAD-HIJACKED EMAILS PUSH BUMBLEBEE OR ICEDID