针对伊朗钢铁行业的攻击 相关样本 (2022-06)

Jirehlov1234

https://twitter.com/_CPResearch_/status/1541753930518085632

https://www.virustotal.com/gui/f ... b8b20d5d80edea85fbc

https://www.virustotal.com/gui/f ... fadce0f299c194e0350

aboringman

1. 2022-06-28 20:14:26     感染型病毒(Win32/Heur.Generic.HwoCOWEA)MD5:837e9bb07d884385d077d4ea77797df8已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\360极速浏览器x下载\weqfwf\i1b5kobi5.dll
   
2. 2022-06-28 20:14:25     感染型病毒(Win32/Heur.Generic.HwoCPr0A)MD5:b86678403d77efbdba3d2b1c93500dfc已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\360极速浏览器x下载\weqfwf\n0dz9du2o.dll

复制代码

rogersg

Kaspersky

1. 事件: 检测到恶意对象
   
2. 用户: DESKTOP-XXX\Admin
   
3. 用户类型: 活动用户
   
4. 应用程序名称: WinRAR.exe
   
5. 应用程序路径: C:\Program Files\WinRAR
   
6. 组件: 文件反病毒
   
7. 结果说明: 检测到
   
8. 类型: 木马
   
9. 名称: UDS:Trojan.Multi.GenericML.xnet
   
10. 精确度: 确切
    
11. 威胁级别: 高
    
12. 对象类型: 文件
    
13. 对象名称: i1b5kobi5.dll
    
14. 对象路径: D:\Users\Admin\Desktop\weqfwf
    
15. MD5: 837E9BB07D884385D077D4EA77797DF8
    
16. 原因: 云保护

复制代码

1. 事件: 检测到恶意对象
   
2. 用户: DESKTOP-XXX\Admin
   
3. 用户类型: 活动用户
   
4. 应用程序名称: WinRAR.exe
   
5. 应用程序路径: C:\Program Files\WinRAR
   
6. 组件: 文件反病毒
   
7. 结果说明: 检测到
   
8. 类型: 木马
   
9. 名称: UDS:Trojan.Multi.GenericML.xnet
   
10. 精确度: 确切
    
11. 威胁级别: 高
    
12. 对象类型: 文件
    
13. 对象名称: n0dz9du2o.dll
    
14. 对象路径: D:\Users\Admin\Desktop\weqfwf
    
15. MD5: B86678403D77EFBDBA3D2B1C93500DFC
    
16. 原因: 云保护

复制代码

kuroandsan

Norton 喜闻乐见的多种检测

huangzihang

震网，flame：你俩不行啊，当年我俩可是在Kaspersky和Symantec眼皮子底下蹦跶好几年没被发现哒

开开心心卖手机

ESET kill

00006666

huangzihang 发表于 2022-6-28 20:21
震网，flame：你俩不行啊，当年我俩可是在Kaspersky和Symantec眼皮子底下蹦跶好几年没被发现哒

震网当年攻击目标是特殊系统(虽然也有WIN)的工业计算机，隔离网环境，而且不一定有杀毒软件

wenshui1013

BD KILL

huangzihang

00006666 发表于 2022-6-28 20:25
震网当年攻击目标是特殊系统(虽然也有WIN)的工业计算机，隔离网环境，而且不一定有杀毒软件

但其实有的设备是有的，当初卡巴第一次发现震网的时候再更新中添加了特征码收集地区信息的时候就有一堆伊朗数据回传，也就是说卡巴和铁壳当初就是被过了很长，铁壳追溯0号样本的时候你猜是在哪发现的，2007年初的VT上

00006666

huangzihang 发表于 2022-6-28 20:33
但其实有的设备是有的，当初卡巴第一次发现震网的时候再更新中添加了特征码收集地区信息的时候就有一堆伊 ...

稍微正常点的APT样本，要是连目标机器上的杀毒软件都过不了，那就不是APT了