楼主: wwwab
收起左侧

[病毒样本] 疑似白加黑 (dll带WHQL)

  [复制链接]
Jirehlov1234
发表于 2023-8-24 13:50:20 | 显示全部楼层
本帖最后由 Jirehlov1234 于 2023-8-27 00:45 编辑
  1. import os
  2. import json
  3. import hashlib
  4. import time
  5. import subprocess

  6. curl_path = "curl.exe"
  7. base_url = "https://note.youdao.com/yws/public/notebook/d04da3da6f8f011be18e9fe893ed2cfb/subdir/WEB4c64cfb83b69382247b8bc37425e47ac"
  8. backup_folder = "C:\\Users\\contact\\Desktop\\folder"
  9. hash_algorithm = hashlib.sha256

  10. def download_file(url, save_path):
  11.     subprocess.run([curl_path, "-A", "MyApp", "-L", "-o", save_path, url], stdout=subprocess.PIPE, stderr=subprocess.PIPE)

  12. def get_hash(file_path):
  13.     hash_obj = hash_algorithm()
  14.     with open(file_path, "rb") as f:
  15.         for chunk in iter(lambda: f.read(4096), b""):
  16.             hash_obj.update(chunk)
  17.     return hash_obj.hexdigest()

  18. def get_original_filename(file_path):
  19.     base_name = os.path.basename(file_path)
  20.     name, _ = os.path.splitext(base_name)
  21.     return name

  22. while True:
  23.     response = subprocess.run([curl_path, "-A", "MyApp", "-s", base_url], stdout=subprocess.PIPE)
  24.     data = json.loads(response.stdout)[2]
  25.    
  26.     for item in data:
  27.         p = item["p"].split("/")[-1]
  28.         tl = item["tl"]
  29.         dl_url = f"https://note.youdao.com/yws/api/personal/file/{p}?method=download&shareKey=d04da3da6f8f011be18e9fe893ed2cfb"
  30.         
  31.         dl_path = os.path.join(backup_folder, tl)
  32.         temp_dl_path = os.path.join(backup_folder, "_temp.zip")
  33.         download_file(dl_url, temp_dl_path)
  34.         actual_size = os.path.getsize(temp_dl_path)
  35.             
  36.         if actual_size >= 207 * 1024:  # Check if the file size is >= 207KB
  37.             temp_hash = get_hash(temp_dl_path)
  38.             final_dl_path = os.path.join(backup_folder, f"{temp_hash}.zip")
  39.                
  40.             if not os.path.exists(final_dl_path):
  41.                 os.rename(temp_dl_path, final_dl_path)
  42.             else:
  43.                 os.remove(temp_dl_path)
  44.                 print(f"Skipping existing file: {final_dl_path}")
  45.         else:
  46.             os.remove(temp_dl_path)
  47.             print(f"File size is too small: {tl}")

  48.     time.sleep(60)
复制代码

评分

参与人数 1人气 +1 收起 理由
swizzer + 1 感谢支持,欢迎常来: )

查看全部评分

wwwab
 楼主| 发表于 2023-8-24 15:36:32 | 显示全部楼层
swizzer 发表于 2023-8-24 08:35
新的

https://funami.lanzoub.com/iDJZA1695y5g
Dear Wwwab,

Thank you for your submission.
The detection for this threat will be included in the next update of detection engine, expected version: 27792.

Regards,

ESET Malware Response Team
wwwab
 楼主| 发表于 2023-8-25 09:05:38 | 显示全部楼层
Dear Customer,

Thank you for submitting the sample to Fortinet.  

We have recently added detection for this malware. The signature will be included in the next regular update.

The sample you submitted will be detected as follows:
<UniAnsi.dll> with MD5: 22511904f621d1eaa3ab86a1190f30c8 - <W32/Agent.AFTL!tr>
<96d0806e438b5508a4bc0c85670> with MD5: cb072093838a0215803d0185df4a9af1 - <W32/Agent.HDN!tr.dldr>
<pbvm125.dll> with MD5: 6d63bd639adf4fb6d0f6ec3c1cf894bb - <W32/Agent.AFTL!tr>
好快
Jirehlov1234
发表于 2023-8-25 09:21:43 | 显示全部楼层

这不就是e家的报法
sanhu35
发表于 2023-8-25 10:42:23 | 显示全部楼层
冰盾拦截事件:

行为: 操作文件
拦截规则: [保护]写入高危文件(修改)
响应动作: 询问(允许)
拦截时间: 2023-08-25 10:38:37
拦截次数: 1
进程名称: 96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程路径: C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程命令行: "C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe"
操作目标: C:\Users\Administrator\AppData\Roaming\1XH1H\Bvoe.exe

行为: 操作文件
拦截规则: 智能防护(添加开机启动)
响应动作: 询问(允许)
拦截时间: 2023-08-25 10:38:29
拦截次数: 1
进程名称: Bvoe.exe
进程路径: C:\Users\Administrator\AppData\Roaming\1XH1H\Bvoe.exe
进程命令行: "C:\Users\Administrator\AppData\Roaming\1XH1H\Bvoe.exe" -n C:\Users\Administrator\AppData\Roaming\1XH1H\IYI.zip -d C:\Users\Administrator\AppData\Roaming
操作目标: C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\LETsite_Cure.lnk

行为: 操作文件
拦截规则: 智能防护(添加开机启动)
响应动作: 询问(允许)
拦截时间: 2023-08-25 10:38:27
拦截次数: 1
进程名称: Bvoe.exe
进程路径: C:\Users\Administrator\AppData\Roaming\1XH1H\Bvoe.exe
进程命令行: "C:\Users\Administrator\AppData\Roaming\1XH1H\Bvoe.exe" -n C:\Users\Administrator\AppData\Roaming\1XH1H\IYI.zip -d C:\Users\Administrator\AppData\Roaming
操作目标: C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\LETsite_Cure.lnk

行为: 操作文件
拦截规则: 智能防护(添加开机启动)
响应动作: 询问(允许)
拦截时间: 2023-08-25 10:38:25
拦截次数: 1
进程名称: Bvoe.exe
进程路径: C:\Users\Administrator\AppData\Roaming\1XH1H\Bvoe.exe
进程命令行: "C:\Users\Administrator\AppData\Roaming\1XH1H\Bvoe.exe" -n C:\Users\Administrator\AppData\Roaming\1XH1H\IYI.zip -d C:\Users\Administrator\AppData\Roaming
操作目标: C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\LETsite_Cure.lnk

行为: 操作文件
拦截规则: [保护]写入高危文件(修改)
响应动作: 询问(允许)
拦截时间: 2023-08-25 10:38:19
拦截次数: 1
进程名称: 96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程路径: C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程命令行: "C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe"
操作目标: C:\Users\Public\Videos\EYEEUD\DXDDTC.exe

行为: 操作文件
拦截规则: 智能防护(添加开机启动)
响应动作: 询问(允许)
拦截时间: 2023-08-25 10:38:03
拦截次数: 1
进程名称: 96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程路径: C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程命令行: "C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe"
操作目标: C:\Users\Administrator\AppData\Roaming\1XH1H\Microsoft\Windows\Start Menu\Programs\startup

行为: 操作文件
拦截规则: 智能防护(添加开机启动)
响应动作: 询问(允许)
拦截时间: 2023-08-25 10:38:01
拦截次数: 1
进程名称: 96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程路径: C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程命令行: "C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe"
操作目标: C:\Users\Administrator\AppData\Roaming\1XH1H\Microsoft\Windows\Start Menu\Programs\startup\LETsite_Cure.lnk

行为: 操作文件
拦截规则: 智能防护(添加开机启动)
响应动作: 询问(允许)
拦截时间: 2023-08-25 10:37:59
拦截次数: 1
进程名称: 96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程路径: C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程命令行: "C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe"
操作目标: C:\Users\Administrator\AppData\Roaming\1XH1H\Microsoft\Windows\Start Menu\Programs\startup\LETsite_Cure.lnk

行为: 操作文件
拦截规则: 智能防护(添加开机启动)
响应动作: 询问(允许)
拦截时间: 2023-08-25 10:37:59
拦截次数: 1
进程名称: 96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程路径: C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程命令行: "C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe"
操作目标: C:\Users\Administrator\AppData\Roaming\1XH1H\Microsoft\Windows\Start Menu\Programs\startup\LETsite_Cure.lnk

行为: 操作文件
拦截规则: 智能防护(添加开机启动)
响应动作: 询问(允许)
拦截时间: 2023-08-25 10:37:55
拦截次数: 1
进程名称: 96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程路径: C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程命令行: "C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe"
操作目标: C:\Users\Administrator\AppData\Roaming\1XH1H\Microsoft\Windows\Start Menu\Programs\startup

行为: 操作文件
拦截规则: [保护]写入高危文件(新建)
响应动作: 询问(允许)
拦截时间: 2023-08-25 10:37:41
拦截次数: 1
进程名称: 96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程路径: C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程命令行: "C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe"
操作目标: C:\Users\Public\Videos\EYEEUD\pbvm125.dll

行为: 操作文件
拦截规则: [保护]写入高危文件(新建)
响应动作: 询问(允许)
拦截时间: 2023-08-25 10:37:39
拦截次数: 1
进程名称: 96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程路径: C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe
进程命令行: "C:\Users\Administrator\Desktop\病毒测试\96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af.exe"
操作目标: C:\Users\Public\Videos\EYEEUD\pbvm125.dll
Hibike
发表于 2023-8-25 10:52:21 | 显示全部楼层
wwwab
 楼主| 发表于 2023-8-25 11:22:53 | 显示全部楼层
Jirehlov1234
发表于 2023-8-25 12:01:46 | 显示全部楼层
wwwab 发表于 2023-8-25 03:22
再补充一个https://www.virustotal.com/gui/file/aa8a7dbb443af73878ed30ba364913fb3101ad80702cd280bb1078 ...

下发目录知道吗,好像不是另外两个的目录,下了一遍没有
wwwab
 楼主| 发表于 2023-8-25 12:08:41 | 显示全部楼层
Jirehlov1234 发表于 2023-8-25 12:01
下发目录知道吗,好像不是另外两个的目录,下了一遍没有

这个dll签名时间是13号,应该是之前13-21号左右流行的时候下放的dll,现在换了
hsks
发表于 2023-8-25 12:09:51 | 显示全部楼层
Jirehlov1234 发表于 2023-8-25 12:01
下发目录知道吗,好像不是另外两个的目录,下了一遍没有

好像还是那个FakeTG里的()
https://www.virustotal.com/gui/file/d84b2a0632974c30a318ca1b44f42c5dc5078c20b9ff6707c0e7892b9e3676d6/relations
To:https://www.virustotal.com/gui/file/96d0806e438b5508a4bc0c85670325201e5e0abbf3b338d5ffbff601b05017af

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-11-2 00:33 , Processed in 0.106091 second(s), 15 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表