#Stealer #Raccoon (2023-08-07)

pal家族

hsks 发表于 2023-8-8 21:20
再加一句：在某沙箱分析平台，报红，挂了11h

确实挺意外（）

需要一点点人工的帮助

QQQQQ555

奇信安miss，KIS miss

UNknownOoo

火绒
扫描：MISS
双击：MISS

aboringman

dght432 发表于 2023-8-8 21:15
寄
https://sandbox.dbappsecurity.com.cn/report/1ada191a-827a-4444-873d-8b85bbf0fdc8

（因为没有办法手动操作，于是设置成了自动处理模式）

看到有拦截注入。

1. 时间        操作        说明        次数
   
2. 2023-08-08 21:36:42        [已阻止]          远程线程注入        防护 1 次
   
3. 详细描述：
   
4. 进程：C:\USERS\KILLER\APPDATA\ROAMING\SHELL32\MPCOPYACCELERATOR.EXE
   
5. 动作：远程线程注入
   
6. 路径：C:\Windows\SysWOW64\cmd.exe
   
7. 风险文件：C:\USERS\KILLER\DESKTOP\SETUP\SETUP.EXE
   
8. 拦截补充描述：程序正在进行远程线程注入，将代码藏匿到其他进程来运行，木马通常以此来隐藏自己的恶意行为。如果您不认识此程序，请阻止。
   
9. 
   
10. 防护信息: AD|2, 88|30, 30, -1||

复制代码

部分衍生物（  ：

熊小度

微步云 clean

{'data': {'multiengines': {'threat_level': 'clean', 'total': 24, 'is_white': False, 'total2': 24, 'positives': 0

hsks

UNknownOoo 发表于 2023-8-8 21:29
火绒
扫描：MISS
双击：MISS

好惨（）

断簪

双击过fsp

hsks

@swizzer
我错了我错了，关联样本一查查出个大的
将近1个月前上传至VT，现在只有ESET报，报毒名还是个不相干的毒
https://www.virustotal.com/gui/file/39ad65052511688fb3644ba674fa69b8be2949e1fccf92456209c8a615a23b55/detection

然后8月7号的样本看了下，payload好像还是个白加黑

swizzer

hsks 发表于 2023-8-8 22:05
@swizzer
我错了我错了，关联样本一查查出个大的
将近1个月前上传至VT，现在只有ESET报，报毒名还 ...

甚至是白+灰+黑，那个ogg文件蛮可疑的不过我懒得逆向，等BD分析师给结果

hsks

swizzer 发表于 2023-8-8 22:14
甚至是白+灰+黑，那个ogg文件蛮可疑的不过我懒得逆向，等BD分析师给结果

那个ogg是png
大概是假图片的套路吧（）