Farfli远控Rat

wwwab

16a50f23b642c61e84c65285c5bb5f849f9f76a10d86e262a4a434652706b356

发帖前VirusTotal 19/65

火绒扫描miss，智量扫描miss


双击结果：

火绒：成功拦截
拦截方式：通杀方式查杀衍生物

【2】2023-01-13 01:18:10,病毒防护,文件实时监控,发现病毒Backdoor/Farfli.gk, 已处理

病毒名称：Backdoor/Farfli.gk
病毒ID：D3802A17F2CE8133
病毒路径：C:\Users\Public\Documents\statisLite.dll
操作类型：执行
操作结果：已处理

进程ID：1924
操作进程：C:\Users\Public\Documents\tsorgaemse.exe
操作进程命令行："C:\Users\Public\Documents\tsorgaemse.exe"
父进程：C:\Windows\SysWOW64\cmd.exe
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【3】2023-01-13 01:09:19,病毒防护,文件实时监控,发现病毒Backdoor/Farfli.gk, 已处理

病毒名称：Backdoor/Farfli.gk
病毒ID：D3802A17F2CE8133
病毒路径：C:\Users\Public\Documents\statisLite.dll
操作类型：修改
操作结果：已处理

进程ID：8236
操作进程：C:\Users\administrator1\Desktop\16a50f23b642c61e84c65285c5bb5f849f9f76a10d86e262a4a434652706b356.exe
操作进程命令行："C:\Users\administrator1\Desktop\16a50f23b642c61e84c65285c5bb5f849f9f76a10d86e262a4a434652706b356.exe"
父进程：C:\Windows\explorer.exe

查杀缺陷：病毒计划任务成功被添加

补充信息：
相关衍生物黑statisLite.dll（f9e282a5f41690e0291a65c8afcfe89f1fbf35bbd7ce8f2c48f07ef2f2186016），发帖前VirusTotal仅5/69
评价：
等第：优

智量：成功拦截
拦截方式：拦截计划任务+放行拦截计划任务/手动双击衍生物后内存防护查杀

查杀缺陷：
1. 内存防护查杀需要等待一些时间才可触发
2. 双击一次过后内存防护反复查杀不干净
3. 未查杀恶意黑dll，仅内存防护疯狂查杀白利用exe与dropper

评价：
等第：良

下载1：https://pan.huang1111.cn/s/Ndblc1
下载2：https://pan.xiaomuxi.cn/s/M9puy
下载3：https://we.tl/t-hMYXDqpGmP
解压密码：infected

kuroandsan

BD 2x

1. The file D:\Download\vir\HzxOANQX_infected2023011301\16a50f23b642c61e84c65285c5bb5f849f9f76a10d86e262a4a434652706b356.exe is infected with Gen:Suspicious.Cloud.2.@F0@auQSf0mj and was moved to quarantine. It is recommended that you run a System Scan to make sure your system is clean.

复制代码

1. The file D:\Download\HzxOANQX_infected2023011301\Documents\statisLite.dll is infected with Gen:Suspicious.Cloud.2.@J8@aWqykZfj and was moved to quarantine. It is recommended that you run a System Scan to make sure your system is clean.

复制代码

wwwab

补充：
智量未能拦截病毒在注册表添加启动项，火绒查杀病毒衍生物黑statisLite.dll之后病毒未在注册表添加启动项：


@智量官方 你们在搞毛啊

wwwab

kuroandsan 发表于 2023-1-13 10:00
BD 2x

智量提取的病毒内存数据被火绒逮了个正着（这是准备上传的吧，竟居然还好像是明文储存存储

打起来，打起来

aphtc

eset 解压 kill

hsks

wwwab 发表于 2023-1-13 10:01
补充：
智量未能拦截病毒在注册表添加启动项，火绒查杀病毒衍生物黑statisLite.dll之后病毒未在注册表添加 ...

拦了，但是没拦截完全

莒县小哥

UNknownOoo

wwwab 发表于 2023-1-13 10:01
补充：
智量未能拦截病毒在注册表添加启动项，火绒查杀病毒衍生物黑statisLite.dll之后病毒未在注册表添加 ...

这个我在几个月前就反馈过了，说是会在下一版本加强检测好像

红伞
扫描：APC；衍生物扫描：杀一dll

dght432

hsks

Triage成功检测~
https://tria.ge/230113-c46lpahd3t