后门 1X

wwwab

小红伞：

1.  SHA256        3cf72ab44ad0a94850c4ddd8624c1d1fe256439e6fb702a6b4b344b05cc518b5
   
2.  Type        PE64
   
3.  Size        630.784 bytes
   
4. Category        Malware
   
5. Detection name        TR/Agent.adoa
   
6. VDF version        8.19.18.0

复制代码

琳辰

ESET detected.

附件1：银联商务2022年度个人绩效量表修正版 新建WORD.exe - a variant of Win64/TrojanDownloader.Agent.QQ trojan

Hibike

1. Mitigation   Shellcode
   
2. Timestamp    2022-06-16T11:47:17
   
3. 
   
4. Platform     10.0.19044/x64 v943 06_8d*
   
5. PID          5056
   
6. Feature      007D0A30000000A2
   
7. Application  C:\Users\Dubsteppery\Desktop\CobaltStrike2\CobaltStrike2\附件1：银联商务2022年度个人绩效量表修正版 新建WORD.exe
   
8. Description  附件1：银联商务2022年度个人绩效量表修正版 新建WORD.exe
   
9. 
   
10. ** CobaltStrike **
    
11. URL: 121.29.38.225:443
    
12. 
    
13. Stack Trace
    
14. #  Address          Module                   Location
    
15. -- ---------------- ------------------------ ----------------------------------------
    
16. 1  000002520C5BD105 (anonymous)            
    
17.                     8d4b1f                   LEA          ECX, [RBX+0x1f]
    
18.                     48890569030300           MOV          [RIP+0x30369], RAX
    
19.                     e828a60000               CALL         0x2520c5c773c
    
20.                     663bc3                   CMP          AX, BX
    
21.                     7554                     JNZ          0x2520c5bd16d
    
22.                     8d7b1d                   LEA          EDI, [RBX+0x1d]
    
23.                     8bcf                     MOV          ECX, EDI
    
24.                     e8c5a50000               CALL         0x2520c5c76e8
    
25.                     8bcf                     MOV          ECX, EDI
    
26.                     8bd8                     MOV          EBX, EAX
    
27.                     e8dca50000               CALL         0x2520c5c7708
    
28.                     488b0d45030300           MOV          RCX, [RIP+0x30345]
    
29.                     8d570a                   LEA          EDX, [RDI+0xa]
    
30.                     448bcb                   MOV          R9D, EBX
    
31.                     4c8bc0                   MOV          R8, RAX
    
32.                     ff1506e40100             CALL         QWORD [RIP+0x1e406]
    
33. 
    
34. 2  000002520BA6A130 (anonymous)            
    

复制代码

wwwab

Hello,

Thank you for your patience regarding this matter.

We have received an update from our Antimalware Team in which we are informed that the files are malicious and detection will be added in the next couple of updates.

Please let us know if there is anything else we can assist you with or if we may close this case.

Have a nice day!

huangzihang

Gen:Suspicious.Cloud.2.MC0@aOM!OTai