Rhadamanthys Stealer msi x1

anthonyqian

https://twitter.com/1ZRR4H/status/1610590795278712832

VT: https://www.virustotal.com/gui/f ... 15d50b743/detection

DL: https://cowtransfer.com/s/283ffc6d824545

ESET: ELG 检测到。

aboringman

360: 0





安装过程及之后一段时间，如下：

1. 进程：C:\Windows\System32\msiexec.exe "C:\Windows\System32\msiexec.exe" /i "C:\Users\123\Desktop\093a58f36c075644d1dc8856acdefad7fd22332444b6aa07fee2ad615d50b743\093a58f36c075644d1dc8856acdefad7fd22332444b6aa07fee2ad615d50b743.msi" , (1, 24)
   
2. 动作：模拟按键
   
3. 路径：
   
4. 
   
5. 进程：C:\Windows\System32\rundll32.exe
   
6. 动作：远程线程注入
   
7. 路径：C:\Windows\explorer.exe
   
8. 风险文件：C:\USERS\123\APPDATA\ROAMING\TEMP\ST\RUNTIME BROKER.EXE
   
9. 防护信息: AD|2, 88|40, 40, -1||

复制代码

带杀毒玩，监控开启本地QVM，则击杀一衍生物。

1. 2023-01-05 00:02:21     恶意软件(QVM10.2.56BF.Malware.Gen)MD5:8712e215a65e594ab9478d5413e2a540    已删除此文件，如果您发现误删，可从隔离区恢复此文件。        C:\USERS\123\APPDATA\ROAMING\TEMP\ST\RUNTIME BROKER.EXE

复制代码

断网情况下，卫士本地QVM能够检出，杀毒则不行。

UNknownOoo

智量
双击：行为杀衍生物


火绒
扫描：MISS

117054487

事件: 检测到恶意对象
应用程序: Runtime Broker
用户: DESKTOP-8E67PM1\fengy
用户类型: 发起者
组件: 系统监控
结果说明: 检测到
类型: 木马
名称: PDM:Trojan.Win32.Generic
威胁级别: 高
对象类型: 进程
对象路径: C:\Users\fengy\AppData\Roaming\Temp\ST
对象名称: Runtime Broker.exe
原因: 行为分析
数据库发布日期: 昨天，2023/1/4 19:43:00
MD5: 8712E215A65E594AB9478D5413E2A540

wh759626933

elastic杀

117054487

avast双击安装一段时间后

GDHJDSYDH

MD扫描双击均miss

Solomondemeter

eset Win32/Agent.AEVP

莒县小哥

二扫

dght432

aboringman 发表于 2023-1-4 23:42
360: 0

类型:木马-Win32/Trojan.Agentb.HnoAS6IA
描述:木马是一种伪装成正常文件的恶意软件，会盗取您的帐号、密码等隐私资料。
扫描引擎:云安全引擎
文件路径:C:\Users\Desktop\093a58f36c075644d1dc8856acdefad7fd22332444b6aa07fee2ad615d50b743\093a58f36c075644d1dc8856acdefad7fd22332444b6aa07fee2ad615d50b743\093a58f36c075644d1dc8856acdefad7fd22332444b6aa07fee2ad615d50b743.msi
文件大小:11.87M (12,449,280 字节)
文件指纹（MD5）:1ae6945d628017ce28caf15da0b2f02e
处理建议:隔离文件