流氓软件附带后门样本，启动后阻止360打开包括急救箱

显示全部楼层 · 发表于 2022-7-14 14:54:02

本帖最后由 QVM360 于 2022-7-14 14:56 编辑

卡巴拉黑
事件: 检测到恶意对象
用户: ADMINISTRATOR\57207
用户类型: 活动用户
应用程序名称: msedge.exe
应用程序路径: C:\Program Files (x86)\Microsoft\Edge\Application
组件: 文件反病毒
结果说明: 检测到
名称: UDS:DangerousObject.Multi.Generic
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: launch_1_6.exe
对象路径: D:\Files\Downloads\launch_1_6
MD5: D088C414CBE86933BB44779B08FBBE87
原因: 云保护

Intezer Analyze – Security analysts' trusted advisor
VirusTotal - File - 04d4e0c49aa7fa064669b0940bb48dd37c637c696b1f589093c8eb0b6f50f3e4

显示全部楼层 · 发表于 2022-7-14 15:37:23

SONAR阻止威胁，提示重启后清除。重启后急救箱可以运行

显示全部楼层 · 发表于 2022-7-14 16:02:19

本帖最后由 Tom179090 于 2022-7-14 16:04 编辑

Gen:Suspicious.Cloud.2.@FW@a4pB0tg关闭Anti-virus，ATD kill。
Detection ID: SuspiciousBehavior.8EBAF3BA0EBCFDC9

显示全部楼层 · 发表于 2022-7-14 16:50:17

运行附件程序，然后重启，看看能否运行急救箱。

显示全部楼层 · 发表于 2022-7-14 16:52:42

火绒扫描miss
病毒库：2022-07-13

显示全部楼层 · 发表于 2022-7-14 17:05:20

本帖最后由 00006666 于 2022-7-14 17:18 编辑

样本是按数字签名拦截的，拦截360数签

显示全部楼层 · 发表于 2022-7-14 17:25:24

本帖最后由落华无痕于 2022-7-14 17:27 编辑

wowocock 发表于 2022-7-14 16:50
运行附件程序，然后重启，看看能否运行急救箱。

可以。16楼说的去掉数字签名也能运行。

signtool.exe remove /s SuperKillller.exe

复制代码

显示全部楼层 · 发表于 2022-7-14 17:32:49

落华无痕发表于 2022-7-14 17:25
可以。16楼说的去掉数字签名也能运行。

话说这个样本是不是跟一个下载站有关系

恶意网址: hxxp://test.api.dlsoft.kittyyw.com/

复制代码

显示全部楼层 · 发表于 2022-7-14 17:41:44

Tom179090 发表于 2022-7-14 16:02
Gen:Suspicious.Cloud.2.@FW@a4pB0tg关闭Anti-virus，ATD kill。
Detection ID: SuspiciousBehavior.8EBAF ...

关键时刻还是御三家靠谱...

显示全部楼层 · 发表于 2022-7-14 17:43:45

00006666 发表于 2022-7-14 17:32
话说这个样本是不是跟一个下载站有关系

我的是MergecySvr.exe服务程序下载释放的（infected）：https://free.lanzoub.com/iLEND07tq3pg
看VT对样本释放文件NtpService.dll的分析，是有你这个域名。奇怪的是运行这个样本后，360急救箱会提示MBR有问题。

[病毒样本] 流氓软件附带后门样本，启动后阻止360打开包括急救箱

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块