#Farfli #Sality (2023-06-24)

swizzer

https://t.wss.ink/f/bj7c4wbaatr

看到Sality的时候确实有些惊讶...

1. G:\Temp\InfectedBox\user\public\WinZip\CrashRpt1402.dll 是恶意软件 Gen:Variant.Fragtor.309828
   
2. G:\Temp\InfectedBox\user\public\WinZip\uninst.exe 是恶意软件 Win32.Sality.3
   
3. G:\Temp\InfectedBox\user\public\WinZip\adb\adb.exe 是恶意软件 Win32.Sality.3
   
4. G:\Temp\InfectedBox\user\public\WinZip\adb\aapt.exe 是恶意软件 Win32.Sality.3

复制代码

目前本体被HyperDetect了

1. HyperDetect 机器学习检测到威胁. 文件已移动到隔离区。G:\Testing\230624\sawa\sawa.exe 是恶意软件 Gen:Illusion.Cobra.2B.2010100

复制代码

117054487

卡巴

dght432

只拦截了计划任务


衍生物

asnjj

ESET 解压kill

时间;扫描程序;对象类型;对象;检测;操作;用户;信息;哈希;此处首次所见
2023/6/24 20:55:23;文件系统实时防护;文件;C:\Users\User\Desktop\sawa\sawa.exe;Win32/GenKryptik_AGen.ADK 特洛伊木马 的变量;已通过删除清除;DESKTOP-4AHUMT3\User;在通过应用程序创建的新文件上发生了事件: C:\Program Files\WinRAR\WinRAR.exe (198AF5F5481963AB5755EDC86800C6016043C4E7).;578D9C5D8A7DC75AFB8AF4C9F53E0A21C7884433;2023/6/24 20:55:22

UNknownOoo

火绒
扫描：MISS

双击：特征杀衍生物 4X

心醉咖啡

金山毒霸扫描miss

隔山打空气

S1 云杀衍生物，而后检测shellcode杀本体。
本体与衍生物相关指标：
Exploitation
Detected a shellcode that loads a DLL with socket APIs after process creation
MITRE : Defense Evasion [T1055.001]
MITRE : Privilege Escalation [T1055.001]

Persistence
Application registered itself to become persistent via scheduled task
MITRE : Persistence [T1053.005]
MITRE : Execution [T1053.005]
MITRE : Privilege Escalation [T1053.005]

Evasion
Process started with a spoofed parent process
MITRE : Defense Evasion [T1134.004]
MITRE : Privilege Escalation [T1134.004]
部分衍生物
unist.exe （ML杀，置信度suspicious）
adb.exe（云杀）
aapt.exe（云杀）
419376.zip（云杀）

喀反

WD扫描miss

GreatMOLA

Norton
删除部分衍生物；NPE再杀部分衍生物。

qzuser3123

.