#Magniber cpl扩展名

Jirehlov1234

阅读原文：https://asec.ahnlab.com/en/37012/

最近没关注Magniber，一查发现又更新攻击链了。Ahnlab 20号的文章表明，其会根据访问的浏览器选择下载的扩展名
(July 19th, 2022) MS.Upgrade.Database.Cloud.msi
(July 20th, 2022) MS.Upgrade.Database.Cloud.cpl (Chrome)
(July 20th, 2022) MS.Upgrade.Database.Cloud.zip (Edge)



Ahnlab给出的数据显示，msi的下发从20号开始就停止了

随便找了仨cpl的，已经大面积红色了。

如果有同学有活跃的magniber传播源欢迎分享，谢谢！

00006666

360



改HASH后双击运行

这类程序会被360默认拦截，以前的MSI至少能运行起来



如果允许运行，一样还是拦截注入

1. 时间        操作        说明        次数
   
2. 2022-07-30 18:32:44        [已阻止]          远程线程注入        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\Windows\System32\rundll32.exe
   
5. 动作：远程线程注入
   
6. 路径：C:\Windows\System32\sihost.exe
   
7. 风险文件：C:\Users\Administrator\Desktop\Antivirus.Upgrade.Database.Cloud.cpl
   
8. 防护信息: AD|2, 88|40, 40, -1||
   

复制代码

1. 时间        操作        说明        次数
   
2. 2022-07-30 18:32:56        [已阻止]          远程线程注入        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\Windows\System32\rundll32.exe
   
5. 动作：远程线程注入
   
6. 路径：C:\Windows\System32\svchost.exe
   
7. 风险文件：C:\Users\Administrator\Desktop\Antivirus.Upgrade.Database.Cloud.cpl
   
8. 防护信息: AD|2, 744|40, 40, -1||
   

复制代码

wwwab

magniber之前最早通过IE漏洞传播就也是释放一个cpi执行的，不知道这次直链cpl与之前有何不同

我还是喜欢msi，运行过就算源文件被删除了，也能从C:\Windows\installer提取到文件

anthonyqian

安博士应该是少数几家积极跟踪、分析Magniber并愿意分享技术细节的厂商了。https://asec.ahnlab.com/en/36475/

Jirehlov1234

anthonyqian 发表于 2022-7-30 10:47
安博士应该是少数几家积极跟踪、分析Magniber并愿意分享技术细节的厂商了。https://asec.ahnlab.com/en/364 ...

毕竟是韩国的厂。magniber主要打击的就是东亚这片

ANY.LNK

摆大烂的微软是少有的当下仍没有报告的厂商之一，目前扫描仍然不报（或者说，进行了针对性的免杀？）

wwwab

ANY.LNK 发表于 2022-7-30 18:53
摆大烂的微软是少有的当下仍没有报告的厂商，目前扫描仍然不报（或者说，进行了针对性的免杀？）

bd：你忽略了我

心心相印

迈克菲all

心醉咖啡

毒霸

rogersg

ESET Smart Security Premium
Antivirus.Upgrade.Database.Cloud.cpl - a variant of Win64/GenKryptik.FXXG trojan
Antivirus.Upgrade.Database.Cloud (2).cpl - a variant of Win64/GenKryptik.FXXG trojan
Antivirus.Upgrade.Database.Cloud (3).cpl - a variant of Win64/Injector.IY trojan