x7 (2023-08-11)

Hibike

https://hibike.cowtransfer.com/s/0a932a4943814b

hhhq316

EMSI
蜘蛛

swizzer

BEST 6/7, missed 2c20a88013816d13f03da1dd2ca99e46.exe (虚拟机中未展开后续行为)

1. C:\Users\苏敬轩\Desktop\nakodub\7d28117ce1136bc8f5e96ea1f1f4213d.exe 是恶意软件 Trojan.GenericKDZ.61581
   
2. C:\Users\苏敬轩\Desktop\nakodub\aab3cfb01aadf323f37c83c562a1aa9a.exe 是恶意软件 Trojan.GenericKD.68610829
   
3. 高级威胁防护已阻止注入恶意代码的进程。进程路径: C:\Users\苏敬轩\Desktop\nakodub\4fd6a80037b7eb760b9c2a0e6d4ac85c.exe. 威胁名称: Gen:Trojan.Beacon.Shellcode.Marte.1.
   
4. 高级威胁防护阻止了一个恶意进程。进程路径: C:\Users\苏敬轩\Desktop\nakodub\4fd6a80037b7eb760b9c2a0e6d4ac85c.exe. 威胁名称: ATC.ML:SuspiciousBehavior.5735C3227AC6EF39.
   
5. 高级威胁防护已阻止注入恶意代码的进程。进程路径: C:\Users\Public\qnbin\QNApp.exe. 威胁名称: Gen:Variant.Graftor.129539.
   
6. 高级威胁防护已阻止注入恶意代码的进程。进程路径: C:\Users\苏敬轩\Desktop\nakodub\58061fae5ff42af553a4ed2807da26f9.exe. 威胁名称: Generic.ShellCode.Marte.2.314BE44A.
   
7. 高级威胁防护阻止了一个恶意进程。进程路径: C:\Users\苏敬轩\Desktop\nakodub\58061fae5ff42af553a4ed2807da26f9.exe. 威胁名称: ATC.ML:SuspiciousBehavior.5735C3222006C006.
   
8. 高级威胁防护已阻止注入恶意代码的进程。进程路径: C:\Users\苏敬轩\Desktop\nakodub\f43e2cae416d831cd9a52ef7d6f6a3ef.exe. 威胁名称: Gen:Heur.Variadic.A.461.1.

复制代码

Kaspersky all.

1. 2c20a88013816d13f03da1dd2ca99e46.exe - UDS:Trojan.Win32.Agent.a
   
2. aab3cfb01aadf323f37c83c562a1aa9a.exe - HEUR:Trojan-Spy.Win32.Stealer.gen
   
3. 7d28117ce1136bc8f5e96ea1f1f4213d.exe - HEUR:Trojan-Spy.MSIL.KeyLogger.gen
   
4. G:\Temp\InfectedBox\user\public\qnbin\p2pengine.dll - HEUR:Trojan.Win32.Agent.gen
   
5. 58061fae5ff42af553a4ed2807da26f9.exe - PDM:Exploit.Win32.Generic.nblk
   
6. 4fd6a80037b7eb760b9c2a0e6d4ac85c.exe - PDM:Trojan.Win32.Generic
   
7. f43e2cae416d831cd9a52ef7d6f6a3ef.exe(amsi_stream_19) - VHO:Trojan.MSIL.Exnet.gen

复制代码

anxiety520

swizzer 发表于 2023-8-11 10:00
BEST 6/7, missed 2c20a88013816d13f03da1dd2ca99e46.exe (虚拟机中未展开后续行为)

评分发错了，b34和f43应该是刚刚拉黑的，我双击的时候还是miss的状态

心醉咖啡

360

swizzer

anxiety520 发表于 2023-8-11 10:34
评分发错了，b34和f43应该是刚刚拉黑的，我双击的时候还是miss的状态

f43是AMSI防护杀的(所以特意标注了AMSI_Stream)，b34我双击的时候杀了衍生物(贴的日志也是衍生物)。

发帖到我双击完成不超过10min，基本排除发帖后、测试前拉黑的可能性。

hansyu

McAfee kill 4x

GreatMOLA

Norton 扫描5x
机学3x+启发1x+入库1x

执行 防火墙拦截1x，余4fd6a80037b7eb760b9c2a0e6d4ac85c

761773275

SOPHOS 5X

1. 在 C:\Users\Leung\Desktop\nakodub\58061fae5ff42af553a4ed2807da26f9.exe 检测到 C2_1a (T1095 mem/meter-b mem/meter-d mem/meter-g)

复制代码

1. “Kernel32Trap”攻击已在 2c20a88013816d13f03da1dd2ca99e46.exe 中被阻止

复制代码

1. “DynamicShellcode”恶意行为已在 4fd6a80037b7eb760b9c2a0e6d4ac85c.exe 中被阻止

复制代码

1. 在 C:\Users\Leung\Desktop\nakodub\7d28117ce1136bc8f5e96ea1f1f4213d.exe 检测到 Mal/Bladabi-W

复制代码

1. 在 C:\Users\Leung\Desktop\nakodub\aab3cfb01aadf323f37c83c562a1aa9a.exe 检测到 Mal/Generic-R

复制代码

biue