Signed Redline stealer x2

anthonyqian

来自https://twitter.com/JAMESWT_MHT/status/1536678912629129219

样本带有有效数字签名

https://wwz.lanzouh.com/i1OeG06eyrfc

aboringman

360: 0





然后360莫名其妙杀了一个，看来下载防护自动上传是不会有记录的（

1. 2022-06-14 20:40:44     感染型病毒(Win32/Backdoor.Parallax.HgIAStUA)MD5:8b3e138741dd81aab4073a6b2fa350b5已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\360极速浏览器x下载\4c19118800b3e0e5897312c9aa2196bd44e48b72ec4c486c3e71dc56178eb2a5.exe

复制代码

剩下的那个

1. 时间        操作        说明        次数
   
2. 2022-06-03 12:08:43        [已阻止]          远程线程注入        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\Users\123\Desktop\d853393d45fc7123238bf7ce1cc87fbf72fe8aa757a8a3b9b77cd020f3327a25.exe
   
5. 动作：远程线程注入
   
6. 路径：C:\Program Files (x86)\Common Files\microsoft shared\Ink\pipanel.exe
   
7. 风险文件：C:\Users\123\Desktop\d853393d45fc7123238bf7ce1cc87fbf72fe8aa757a8a3b9b77cd020f3327a25.exe
   
8. 全部阻止
   
9. 防护信息: AD|30, 30, -1||
   
10. 2022-06-03 12:08:36        [已阻止]          远程线程注入        防护 1 次
    
11. 详细描述：
    
12. 进程：C:\Users\123\Desktop\d853393d45fc7123238bf7ce1cc87fbf72fe8aa757a8a3b9b77cd020f3327a25.exe
    
13. 动作：远程线程注入
    
14. 路径：C:\Program Files (x86)\Common Files\microsoft shared\Ink\pipanel.exe
    
15. 风险文件：C:\Users\123\Desktop\d853393d45fc7123238bf7ce1cc87fbf72fe8aa757a8a3b9b77cd020f3327a25.exe
    
16. 防护信息: AD|30, 30, -1||
    
17. 2022-06-03 12:08:28        [已阻止]          远程线程注入        防护 1 次
    
18. 详细描述：
    
19. 进程：C:\Users\123\Desktop\d853393d45fc7123238bf7ce1cc87fbf72fe8aa757a8a3b9b77cd020f3327a25.exe
    
20. 动作：远程线程注入
    
21. 路径：C:\Program Files (x86)\Common Files\microsoft shared\Ink\pipanel.exe
    
22. 风险文件：C:\Users\123\Desktop\d853393d45fc7123238bf7ce1cc87fbf72fe8aa757a8a3b9b77cd020f3327a25.exe
    
23. 防护信息: AD|30, 30, -1||
    
24. 2022-06-03 12:08:20        [已阻止]          修改 系统启动目录        防护 1 次
    
25. 详细描述：
    
26. 进程：C:\Windows\SysWOW64\dllhost.exe
    
27. 动作：修改
    
28. 路径：C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\[过滤]d.exe
    
29. 风险文件：C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\[过滤]d.exe
    
30. 防护信息: FD|10, 10, 30|69BC1A7EF6055D469DB60FDE69588129|26c869f763a499e59bced14b3f53b54361181b50

复制代码

lvseqiji

卡巴 scan miss有勇士双击下吗

LSPD

Kaspersky 双击 miss

anthonyqian

LSPD 发表于 2022-6-14 21:00
Kaspersky 双击 miss

ESET是直接拉黑了这个签名（简单粗暴 不讲武德

rogersg

ESET Internet Security

d853393d45fc7123238bf7ce1cc87fbf72fe8aa757a8a3b9b77cd020f3327a25.exe - a variant of Win32/GenCBL.CCB trojan
4c19118800b3e0e5897312c9aa2196bd44e48b72ec4c486c3e71dc56178eb2a5.exe - a variant of Win32/GenCBL.CCB trojan

LSPD

anthonyqian 发表于 2022-6-14 21:10
ESET是直接拉黑了这个签名（简单粗暴 不讲武德

最有效最直接的办法（误

846472713

G DATA 2X

kyuno1

等下我火绒试下。前两天虚拟机被干废了，没还原点。腾管15.3  扫描双击都miss
火绒运行结果 2个样本扫描miss，数据库0614-20.13分
两个样本双击  都可以触发系统保护，实际是否防护成功未知。
日志：
防护项目：启动目录(扩展保护)
目标文件：C:\Users\abc\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\pstd.exe
操作结果：已阻止

进程ID：7016
操作进程：C:\Windows\SysWOW64\dllhost.exe
操作进程命令行：C:\Windows\SysWOW64\DllHost.exe /Processid:{3AD05575-8857-4850-9277-11B85BDB8E09}
父进程ID：928
父进程：C:\Windows\System32\svchost.exe
父进程命令行：C:\Windows\system32\svchost.exe -k DcomLaunch -p

心醉咖啡

毒霸扫描miss