白加黑木马

00006666

白加黑木马



C2可能失效了



添加自启动



相同家族:https://bbs.kafan.cn/thread-2237354-1-1.html

RTX—2080TI

卡巴kill2，exe没杀

Solomondemeter

Time;Scanner;Object type;Object;Detection;Action;User;Information;Hash;First seen here
17/6/2022 上午 9:20:33;Real-time file system protection;file;C:\Users\123\OneDrive\桌面\新建文件夹\PYTHON21.dll;a variant of Win32/Agent.ADYU trojan;cleaned by deleting;PIXEL\123;Event occurred on a new file created by the application: C:\Program Files\7-Zip\7zFM.exe (C1201D33A692CC31907CC263725DE10B8DF31553).;F7C402EBF7672A2C8099254C1EA6B6A872687AB2;17/6/2022 上午 9:20:30

00006666

360    双击拦截添加开机自启动

1. 时间        操作        说明        次数
   
2. 2022-06-17 09:20:30        [已阻止]          修改 开机启动项        防护 1 次
   
3. 详细描述：
   
4. 注册表位置：HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\[SelfRunDemo]
   
5. 注册表内容："C:\Users\Administrator\Desktop\白加黑木马\ApplicPywizable.exe"
   
6. 进程：C:\Users\Administrator\Desktop\白加黑木马\ApplicPywizable.exe
   
7. 父进程：C:\Windows\explorer.exe , (103)
   
8. 风险文件：C:\Users\Administrator\Desktop\白加黑木马\PYTHON21.dll
   
9. 防护信息: RD|10, 10, 10|706B6A2593C2EDBEB6DC4892B537BD0B|<sha1>f7c402ebf7672a2c8099254c1ea6b6a872687ab2</sha1>
   

复制代码

然后等待半个小时后，触发网络防护，隔离样本

喀反

WD

UNknownOoo

火绒 all missed

Shake2333

fs scan miss

红豆有绿豆

UNknownOoo 发表于 2022-6-17 10:04
火绒 all missed

目前双击未拦，看起来是不可能了
补充一下，运行之后毛豆的无法识别文件瞬间多了1267个，看起来都像是驱动和系统文件

wowocock

00006666 发表于 2022-6-17 09:23
360    双击拦截添加开机自启动

都是黑的了。

00006666

红豆有绿豆 发表于 2022-6-17 10:07
目前双击未拦，看起来是不可能了
补充一下，运行之后毛豆的无法识别文件瞬间多了1267个，看起来都像是驱 ...

这样本没有释放驱动