#CobaltStrike (2023-07-16)

显示全部楼层 · 发表于 2023-7-16 17:55:39

本帖最后由 swizzer 于 2023-7-16 18:44 编辑

https://www.upload.ee/files/1545 ... 98a809767c3.7z.html

高级威胁防护已阻止注入恶意代码的进程。进程路径: G:\Testing\230716\dbb595e6f3053adb3b49f0e29a045a20682142086277bde01b9d498a809767c3.exe. 威胁名称: Trojan.CobaltStrike.GM.

复制代码

20min后再次运行，报法变更，响应动作由单纯的阻断变为回滚。猜测是云端信誉给文件的恶意打分上升从而触发了ATC回滚。与此对应的是，首次运行后5min第二次运行时，BD并没有任何动作，猜测是对方未下发Shellcode。

高级威胁防护阻止了一个恶意进程。进程路径: G:\Testing\230716\dbb595e6f3053adb3b49f0e29a045a20682142086277bde01b9d498a809767c3.exe. 威胁名称: ATC.SuspiciousBehavior.306E83C1396DA141.

复制代码

35min后，BD云端正式拉黑。

实时防护检测到威胁。该文件已被删除。G:\Testing\230716\CS\dbb595e6f3053adb3b49f0e29a045a20682142086277bde01b9d498a809767c3.exe 是恶意软件 Gen:Suspicious.Cloud.2.sCW@aGtERojj

复制代码

显示全部楼层 · 发表于 2023-7-16 17:57:44

本帖最后由 Hibike 于 2023-7-16 18:15 编辑

PDM:Exploit.Win32.Generic.nblk -> VHO:Trojan.Win32.Cobalt.qpc

Only 15min.

显示全部楼层 · 发表于 2023-7-16 18:03:31

360

显示全部楼层 · 发表于 2023-7-16 18:09:38

本帖最后由 IamAngry 于 2023-7-16 18:16 编辑

FS毫无意外地没反应，之前强力的DeepGuard现在基本已经差不多没啥存在感了。

Emsi双击逮捕

显示全部楼层 · 发表于 2023-7-16 18:14:26

KSN VHO通杀：
VHO:Trojan.Win32.Cobalt.qpc

显示全部楼层 · 发表于 2023-7-16 18:17:15

Trellix Endpoint Security miss
静态GTI云信誉最低
Real Protect 云/本地高敏感

显示全部楼层 · 发表于 2023-7-16 18:21:56

360卫士杀毒都关闭防护，用360急救箱扫描kill

显示全部楼层 · 发表于 2023-7-16 18:49:07

火绒
扫描：MISS

显示全部楼层 · 发表于 2023-7-16 19:26:51

Norton
B杀

显示全部楼层 · 发表于 2023-7-16 19:44:27

[病毒样本] #CobaltStrike (2023-07-16)