白加黑（免杀）

显示全部楼层 · 发表于 2022-12-27 11:38:33

秋日之殇发表于 2022-12-27 11:25
不行

抱歉，可能是txt bat内容出问题了

样本是实机提取的，那份bat被火绒杀了没从隔离区提取，从截图内容当中再次还原的，所以才是txt没直接写bat

右键编辑一下，确认是不是

copy /b C:\ProgramData\.ini+C:ProgramData\.dll C:\ProgramData\RobocraftBase.dll"

复制代码

中间是空格不是回车换行

显示全部楼层 · 发表于 2022-12-27 11:44:01

cc.exe和AliwifiProc.exe（MzilYksl.exe）好像都有一个白利用（病毒的批处理会优先结束cc.exe再执行AliwifiProc.exe（MzilYksl.exe），猜测cc.exe可能不是主要的，看看AliwifiProc.exe（MzilYksl.exe）），UnknownOoo昨天测试的AliwifiProc.exe（MzilYksl.exe）白利用智量没杀

显示全部楼层 · 发表于 2022-12-27 11:45:42

秋日之殇发表于 2022-12-27 11:25
不行

那就可能是系统版本问题吧

显示全部楼层 · 发表于 2022-12-27 11:45:47

wwwab 发表于 2022-12-27 11:38
抱歉，可能是txt bat内容出问题了

样本是实机提取的，那份bat被火绒杀了没从隔离区提取，从截图内容当 ...

不一样，但是你这个也不对吧

显示全部楼层 · 发表于 2022-12-27 11:50:12

秋日之殇发表于 2022-12-27 11:45
不一样，但是你这个也不对吧

这个没问题，copy /b是两个文件合并，中间用+符号连接，我昨天还专门问过了copy命令最后后面单独加一个引号不影响文件名称，但是中间是空格不是回车。

显示全部楼层 · 发表于 2022-12-27 11:52:15

（Now）360：

2022-12-27 11:50:25 木马程序(Trojan.Generic)MD5:954097efe47880de0e5df1b1b860a860 已删除此文件，如果您发现误删，可从隔离区恢复此文件。 d:\测试专用\infected2022122701\programdata\robocraftbase.dll
2022-12-27 11:50:24 感染型病毒(Win32/Trojan.Generic.GgkAS5MA)MD5:4ee4790ca0737705aec4b77c542e5431已删除此文件，如果您发现误删，可从隔离区恢复此文件。 d:\测试专用\infected2022122701\programdata\robocraftbase (1).dll

复制代码

显示全部楼层 · 发表于 2022-12-27 11:52:46

MES miss

显示全部楼层 · 发表于 2022-12-27 12:09:34

360手动扫描杀2个

瑞星手动扫描miss

显示全部楼层 · 发表于 2022-12-27 12:10:59

显示全部楼层 · 发表于 2022-12-27 13:54:30

MD扫描miss，上报后微软云检测为Program:Win32/Wacapew.C!ml
目前微软还没有将样本入库，客户端目前依旧扫描miss

[病毒样本] 白加黑（免杀）

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源