Susp. Backdoor

显示全部楼层 · 发表于 2022-6-16 19:06:25

智量入库了，大概确实是恶意的

显示全部楼层 · 发表于 2022-6-16 19:36:01

ESET miss

显示全部楼层 · 发表于 2022-6-16 21:00:20

Hello,

New malicious software was found in the attached file. Its detection will be included in the next update.
Trojan.Win64.Agent.qwiafu

显示全部楼层 · 发表于 2022-6-16 21:16:46

成功跑起来的case：https://tria.ge/220616-qa6lgsfbbr/behavioral2

关键命令是

"C:\Users\Public\Documents\I0.exe" x -y -p38~Ca$4A C:/Users/Public/Documents/packet.db -oC:/Users/Public/Documents -aoa

复制代码

解密db，payload在里头，密码38~Ca$4A

显示全部楼层 · 发表于 2022-6-16 21:42:43

fs miss，to avira

显示全部楼层 · 发表于 2022-6-16 21:48:08

本帖最后由 Hibike 于 2022-6-16 21:53 编辑

Jirehlov1234 发表于 2022-6-16 21:16
成功跑起来的case：https://tria.ge/220616-qa6lgsfbbr/behavioral2

关键命令是

试了下，跑起来的秘诀是把文件名改成 ( )_z( ).exe

括号内可以是任一字符

显示全部楼层 · 发表于 2022-6-16 21:54:35

更改文件名后双击

显示全部楼层 · 发表于 2022-6-16 23:36:16

PowerToken.lnk has been detected as infected. The threat has been successfully blocked, your device is safe.

显示全部楼层 · 发表于 2022-6-17 11:01:17

测了下火绒的扫描+双击不能逃逸火绒的ADV的病毒都不是好病毒（doge）

[可疑文件] Susp. Backdoor