EalShutdown

显示全部楼层 · 发表于 2023-1-29 15:54:36

本帖最后由 BushYan 于 2023-1-29 17:51 编辑

样本https://wwi.lanzoup.com/i0XSS0m1yyqd
源码https://wwi.lanzoup.com/iKguc0m1z0xc

微步沙箱结果https://s.threatbook.com/report/ ... b3af9ce8eeaa384b2a6

显示全部楼层 · 发表于 2023-1-29 15:57:22

提示: 该帖被管理员或版主屏蔽

显示全部楼层 · 发表于 2023-1-29 16:02:18

Avast：0

MBRKiller（

显示全部楼层 · 发表于 2023-1-29 16:04:29

本帖最后由 anxiety520 于 2023-1-29 16:24 编辑

卡巴IPS拦截低级别磁盘访问

事件: 我们应用了您创建的规则来控制应用程序的活动
组件: 入侵防御
结果说明: 已阻止
类型: 安全设置访问
名称: 权限
威胁级别: 高
对象类型: 文件
原因: 权限

复制代码

opentip

Categories
General
Dynamic analysis detects
Status Name
Malware
Trojan.Win32.BSOD.sb
Suspicious activities
Status Severity Description
High
660 The process $Image_path has recorded data to the device $Device_path sector-by-sector (MITRE: T1561.002 Disk Wipe: Disk Structure Wipe).
High
660 The process $Image_path has changed Master boot record (MBR). This action is typical of Rootkit malware (MITRE: T1561.002 Disk Wipe: Disk Structure Wipe).

复制代码

SW杀

显示全部楼层 · 发表于 2023-1-29 16:07:40

ESET扫描miss

显示全部楼层 · 发表于 2023-1-29 16:11:46

360 kill

显示全部楼层 · 发表于 2023-1-29 16:19:19

智量双击直接kill

显示全部楼层 · 发表于 2023-1-29 16:29:41

TotalAV、Webroot
miss

显示全部楼层 · 发表于 2023-1-29 16:34:31

本帖最后由 chjs 于 2023-1-29 16:47 编辑

一干杀软扫描不出来，代码写的是不是覆盖主硬盘开头512字节的MBR啊....
双击运行TES（Trellix Endpoint Security）拦截了。企业版本的Endpoint防护都加入了个信誉文件阈值防护。https://www.virustotal.com/gui/file/42543e71d98fe47da18b393a13ada1dd54b9186fc0165b3af9ce8eeaa384b2a6

显示全部楼层 · 发表于 2023-1-29 17:17:07

本帖最后由莒县小哥于 2023-1-29 18:35 编辑

3245076553 头像被屏蔽	楼主\| 发表于 2023-1-29 15:57:22 \| 显示全部楼层提示: 该帖被管理员或版主屏蔽
3245076553 头像被屏蔽
	回复举报

[病毒样本] EalShutdown

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源