RootKit

显示全部楼层 · 发表于 2022-9-28 23:24:18

7月份出来的mspnp.sys：

加载后还会释放年初的老sptcom.sys RootKit

同时从同源样本、关联样本当中找到了很多LunarSetup、DidaSetup字样

以LunarSetup_v1005.exe为例，运行后会释放一个名为LunarCale的程序和一个名为Lunar.dat的dll，经确认LunarCale为流氓软件“两仪日历”，而Lunar.dat加载后就会释放出该mspnp.sys，mspnp.sys继续释放sptcom.sys，疯狂推装软件以继续执行恶意代码
同样地，以DidaSetup_1004.exe为例，运行后会释放一个名为DidaCale的程序和一个名为HuangLi.db的dll，经确认DidaCale为流氓软件“滴答日历”，而HuangLi.db加载后就会释放出该mspnp.sys，mspnp.sys继续释放sptcom.sys，疯狂推装软件以继续执行恶意代码

“两仪日历”与“滴答日历”具有高度同源性

mspnp.sys使用ShenZhen Sheers Technology Co., Ltd无效数字签名，DidaSetup_1004.exe为Martino Fund Management Co., Ltd.有效数字签名（疑似盗用，从vt大致来看未影响防病毒软件的查杀和检测），LunarSetup_v1005.exe为广州素界电子商务科技有限公司有效数字签名（疑似盗用，从vt大致来看未影响防病毒软件的查杀和检测）

@火绒工程师让工程师分析分析？

显示全部楼层 · 发表于 2022-9-28 23:50:13

geigei，压缩包没有密码？

显示全部楼层 · 发表于 2022-9-29 00:43:10

没有名字ssss 发表于 2022-9-28 23:50
geigei，压缩包没有密码？

是giegie

显示全部楼层 · 发表于 2022-9-29 00:43:48

毒霸扫描miss

显示全部楼层 · 发表于 2022-9-29 07:25:50

智量

显示全部楼层 · 发表于 2022-9-29 11:46:35

您提供的样本已可查杀，能否提供一下您觉得可疑的其他样本呢？

显示全部楼层 · 发表于 2022-9-29 11:58:50

显示全部楼层 · 发表于 2022-9-29 19:32:39

显示全部楼层 · 发表于 2022-9-29 19:44:05

fs missed

显示全部楼层 · 发表于 2022-10-1 12:20:41

金山killed

[病毒样本] RootKit

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源