微步沙箱: 检测到CobaltStrike JA3指纹

swizzer

00006666 发表于 2022-6-15 23:02
不过讲真木马作者用这个游戏来伪装CobaltStrike其实很完美，联网之类的行为就会被掩盖掉，游戏本身就要联 ...

我最初其实担心这货加驱···但是实体机跑了下也没见加驱操作，仅仅是在SysWOW64下面扔了一个nevdew.dll（后缀是dll，其实并不是dll）



要不是这货反虚拟机，我真想把她扔进去挂一天看看结果

秋日之殇

lvseqiji 发表于 2022-6-15 23:04
卡巴Miss有点意外了，连老乡DrWeb都能杀了，卡巴竟然还miss

进入游戏后

swizzer

看来需要at下智量官方来看看内存防护的MEMRAY:MalCode.B01报法为啥不能稳定触发了

虽然主防可以稳定击杀，但是内存杀在触发一次后就不能复现的原因还是挺让人好奇的

@智量官方

zwl2828

Avast
1x

wwwab

卡巴斯基已入库

zkr090612

360杀毒扫描日志

病毒库版本：2022-06-16 16:04
扫描时间：2022-06-16 16:07:29
扫描用时：00:00:03
扫描类型：右键扫描
扫描文件总数：1
项目总数：1
清除项目数：1

扫描选项
----------------------
扫描所有文件：否
扫描压缩包：否
发现病毒处理方式：由用户选择处理
扫描磁盘引导区：是
扫描 Rootkit：否
使用云查杀引擎：是
使用QVM人工智能引擎：是
扫描建议修复项：是
常规引擎设置：

扫描内容
----------------------
C:\Users\Default\Desktop\旷世·复古[0606].exe


白名单设置
----------------------


扫描结果
======================
高危风险项
----------------------
C:\Users\Default\Desktop\旷世·复古[0606].exe        感染型病毒(Win32/Trojan.Generic.HgIAStcA)        已删除

智量官方

swizzer 发表于 2022-6-15 23:21
看来需要at下智量官方来看看内存防护的MEMRAY:MalCode.B01报法为啥不能稳定触发了

虽然主防可 ...

这个样本我们这里多次执行它都没有表现出内存恶意行为的

swizzer

智量官方 发表于 2022-6-16 23:09
这个样本我们这里多次执行它都没有表现出内存恶意行为的

我这里也是触发一次后没能复现

但是看卡巴测试结果确实是识别到了内存特征

00006666

swizzer 发表于 2022-6-16 23:11
我这里也是触发一次后没能复现

但是看卡巴测试结果确实是识别到了内存特征

前几天遇到的另外一个微步沙箱检测到CobaltStrike JA3指纹的样本

https://s.threatbook.cn/report/file/219395c88e6e9d7fa5db87e48b174ad4fb210db377f84cd8e0dc69173411ebff

VT扫描基本都报毒了，所以就没有发到样本区，不过可能和本帖的这个样本比较类似。