x1 (2023-09-04)

显示全部楼层 · 发表于 2023-9-4 17:33:17

https://krakenfiles.com/view/I3Xi3p908V/file.html

显示全部楼层 · 发表于 2023-9-4 17:53:04

本帖最后由 hhhq316 于 2023-9-4 17:59 编辑

蜘蛛阻止

关闭行为防护运行，等样本运行完后再打开检测到威胁

显示全部楼层 · 发表于 2023-9-4 17:57:10

BDTS miss

显示全部楼层 · 发表于 2023-9-4 17:58:03

显示全部楼层 · 发表于 2023-9-4 18:04:35

SEP 扫描miss 双击拦截

ESET 落地杀

显示全部楼层 · 发表于 2023-9-4 18:20:08

本帖最后由 xjwtzq 于 2023-9-4 18:23 编辑

360双击阻止 ,BDTS miss

显示全部楼层 · 发表于 2023-9-4 18:37:57

eset BAT/Agent.PLI

显示全部楼层 · 发表于 2023-9-4 18:55:56

本帖最后由 hansyu 于 2023-9-4 18:57 编辑

McAfee 双击后AMSI扫描阻止
Trojan:Win/OfbuscatedBat.a

显示全部楼层 · 发表于 2023-9-4 19:19:57

Tencent Miss
submitted

显示全部楼层 · 发表于 2023-9-4 19:48:18

本帖最后由 sanhu35 于 2023-9-4 22:30 编辑

运行net.exe

行为: 创建进程
拦截规则: [结束]脚本攻击(执行)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:29:26
拦截次数: 1
进程名称: cmd.exe
进程路径: C:\Windows\System32\cmd.exe
进程命令行: C:\Windows\system32\cmd.exe /c ""C:\Windows\$sxr-seroxen2\$sxr-Uni.bat" "
操作目标: C:\Windows\System32\net.exe

新建exe dll等文件

行为: 操作文件
拦截规则: [保护]写入系统文件(修改)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:29:42
拦截次数: 1
进程名称: cmd.exe
进程路径: C:\Windows\System32\cmd.exe
进程命令行: C:\Windows\system32\cmd.exe /c ""C:\Windows\$sxr-seroxen2\$sxr-Uni.bat" "
操作目标: C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe

行为: 操作文件
拦截规则: [结束]脚本攻击(新建)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:29:42
拦截次数: 1
进程名称: cmd.exe
进程路径: C:\Windows\System32\cmd.exe
进程命令行: C:\Windows\system32\cmd.exe /c ""C:\Windows\$sxr-seroxen2\$sxr-Uni.bat" "
操作目标: C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe

行为: 创建进程
拦截规则: 安全加固(禁止双后缀名的进程启动)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:30:02
拦截次数: 1
进程名称: cmd.exe
进程路径: C:\Windows\System32\cmd.exe
进程命令行: C:\Windows\system32\cmd.exe /c ""C:\Windows\$sxr-seroxen2\$sxr-Uni.bat" "
操作目标: C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe

行为: 操作文件
拦截规则: [保护]写入系统文件(修改)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:30:24
拦截次数: 1
进程名称: $sxr-Uni.bat.exe
进程路径: C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe
进程命令行: "$sxr-Uni.bat.exe"  -noprofile -windowstyle hidden -ep bypass -command function azRwn($ZgqWl){xxxxxxxx$xxxxx
操作目标: C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe

行为: 操作文件
拦截规则: [保护]写入系统文件(新建)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:30:45
拦截次数: 1
进程名称: $sxr-Uni.bat.exe
进程路径: C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe
进程命令行: "$sxr-Uni.bat.exe"  -noprofile -windowstyle hidden -ep bypass -command function azRwn($ZgqWl){xxxxxxxxxxxxx

新建大量敏感文件，新建的powershell  cmd等 是真系统程序的副本

操作目标: C:\Windows\System32\ucrtbased.dll
操作目标: C:\Windows\System32\vcruntime140_1d.dll
操作目标: C:\Windows\System32\vcruntime140d.dll
操作目标: C:\Windows\System32\ucrtbased.dll
操作目标: C:\Windows\$sxr-powershell.exe
操作目标: C:\Windows\$sxr-mshta.exe
操作目标: C:\Windows\$sxr-cmd.exe
操作目标: C:\Windows\$sxr-seroxen.bat
操作目标: C:\Windows\$sxr-cmd.exe
操作目标: C:\Windows\$sxr-seroxen.bat.exe
操作目标: C:\Windows\$sxr-seroxen1\$sxr-nircmd.exe
操作目标: C:\Windows\$sxr-seroxen1\$sxr-Uni.bat

行为: 创建进程
拦截规则: [秒杀]命令行危险操作
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:32:09
拦截次数: 1
进程名称: $sxr-cmd.exe
进程路径: C:\Windows\$sxr-cmd.exe
进程命令行: "C:\Windows\$sxr-cmd.exe" /c %$sxr-OkARmzZPtZsRsbDuTWYA4312:&#<?=%
操作目标: C:\Windows\$sxr-powershell.exe

隐藏执行ps代码

行为: 创建进程
拦截规则: [秒杀]命令行危险操作
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:32:23
拦截次数: 1
进程名称: $sxr-powershell.exe
进程路径: C:\Windows\$sxr-powershell.exe
进程命令行: C:\Windows\$sxr-powershell.exe  -NoLogo -NoProfile -Noninteractive -WindowStyle hidden -ExecutionPolicy bypass -Command function xxxxxxxxxxxxxxxxxxxxxxHPI::$yqGxL2($ROarJ);$jiHsW = $hZECf.EntryPoint;$jiHsW.$yqGxL0($null, (, [string[]] ($tqtlD)))
操作目标: C:\Windows\$sxr-powershell.exe

行为: 操作文件
拦截规则: [保护]写入系统文件(新建)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:32:49
拦截次数: 1
进程名称: $sxr-powershell.exe
进程路径: C:\Windows\$sxr-powershell.exe
进程命令行: C:\Windows\$sxr-powershell.exe  -NoLogo -NoProfile -Noninteractive -WindowStyle hidden -ExecutionPolicy bypass -Command functionxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
操作目标: C:\Windows\System32\ucrtbased.dll

行为: 操作文件
拦截规则: [保护]写入系统文件(修改)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:32:55
拦截次数: 1
进程名称: $sxr-Uni.bat.exe
进程路径: C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe
进程命令行: "$sxr-Uni.bat.exe"  -noprofile -windowstyle hidden -ep bypass -command function xxxxxxxxxxxxxxxxxxxxxxx
操作目标: C:\Windows\$sxr-seroxen2\$sxr-Uni.bat

行为: 操作文件
拦截规则: [保护]写入系统文件(新建)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:32:57
拦截次数: 1
进程名称: $sxr-powershell.exe
进程路径: C:\Windows\$sxr-powershell.exe
进程命令行: C:\Windows\$sxr-powershell.exe  -NoLogo -NoProfile -Noninteractive -WindowStyle hidden -ExecutionPolicy bypass -Command function xxxxxxxxxxxxxxxxxxxxx
操作目标: C:\Windows\System32\vcruntime140_1d.dll

行为: 创建进程
拦截规则: [秒杀]命令行危险操作
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:33:26
拦截次数: 1
进程名称: $sxr-Uni.bat.exe
进程路径: C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe
进程命令行: "$sxr-Uni.bat.exe"  -noprofile -windowstyle hidden -ep bypass -command function xxxxxxxxxxxxxxxxxxxxx
操作目标: C:\Windows\System32\cmd.exe

行为: 操作文件
拦截规则: [保护]写入系统文件(新建)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:33:28
拦截次数: 1
进程名称: $sxr-powershell.exe
进程路径: C:\Windows\$sxr-powershell.exe
进程命令行: C:\Windows\$sxr-powershell.exe  -NoLogo -NoProfile -Noninteractive -WindowStyle hidden -ExecutionPolicy bypass -Command function xxxxxxxxxxxxxxx
操作目标: C:\Windows\System32\vcruntime140d.dll

行为: 创建进程
拦截规则: [结束]脚本攻击(执行)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:33:40
拦截次数: 1
进程名称: cmd.exe
进程路径: C:\Windows\System32\cmd.exe
进程命令行: "C:\Windows\System32\cmd.exe" /C PING localhost -n 8 >NUL & taskkill /F /IM "C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe" & ATTRIB -h -s "C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe" & del /f "C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe"
操作目标: C:\Windows\System32\PING.EXE

行为: 操作文件
拦截规则: [保护]写入系统文件(新建)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:33:42
拦截次数: 1
进程名称: $sxr-powershell.exe
进程路径: C:\Windows\$sxr-powershell.exe
进程命令行: C:\Windows\$sxr-powershell.exe  -NoLogo -NoProfile -Noninteractive -WindowStyle hidden -ExecutionPolicy bypass -Command function xxxxxxxxxxx
操作目标: C:\Windows\System32\ucrtbased.dll

行为: 操作文件
拦截规则: [保护]写入系统文件(新建)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:33:46
拦截次数: 1
进程名称: $sxr-powershell.exe
进程路径: C:\Windows\$sxr-powershell.exe
进程命令行: C:\Windows\$sxr-powershell.exe  -NoLogo -NoProfile -Noninteractive -WindowStyle hidden -ExecutionPolicy bypass -Command function xxxxxxx
操作目标: C:\Windows\System32\vcruntime140_1d.dll

行为: 操作文件
拦截规则: [保护]写入系统文件(新建)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:33:48
拦截次数: 1
进程名称: $sxr-powershell.exe
进程路径: C:\Windows\$sxr-powershell.exe
进程命令行: C:\Windows\$sxr-powershell.exe  -NoLogo -NoProfile -Noninteractive -WindowStyle hidden -ExecutionPolicy bypass -Command function xxxxxxxxxx
操作目标: C:\Windows\System32\vcruntime140d.dll

最后注入线程到系统进程。  这一波操作可能跟毒联动，也有可能没关系
行为: 创建线程
拦截规则: 安全加固(禁止创建远程线程（远程注入）)
响应动作: 询问（拦截）
拦截时间: 2023-09-04 19:34:06
拦截次数: 1
进程名称: dllhost.exe
进程路径: C:\Windows\System32\dllhost.exe
进程命令行: C:\Windows\System32\dllhost.exe /Processid:{4fb6c92e-ee60-4de9-adde-47ab74254b35}
操作目标: C:\Windows\System32\winlogon.exe

行为: 创建进程
拦截规则: [结束]脚本攻击(执行)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:34:22
拦截次数: 1
进程名称: cmd.exe
进程路径: C:\Windows\System32\cmd.exe
进程命令行: "C:\Windows\System32\cmd.exe" /C PING localhost -n 8 >NUL & taskkill /F /IM "C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe" & ATTRIB -h -s "C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe" & del /f "C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe"
操作目标: C:\Windows\System32\taskkill.exe

行为: 创建线程
拦截规则: 安全加固(禁止创建远程线程（远程注入）)
响应动作: 询问（拦截）
拦截时间: 2023-09-04 19:34:42
拦截次数: 1
进程名称: dllhost.exe
进程路径: C:\Windows\System32\dllhost.exe
进程命令行: C:\Windows\System32\dllhost.exe /Processid:{4fb6c92e-ee60-4de9-adde-47ab74254b35}
操作目标: C:\Windows\System32\lsass.exe

行为: 创建进程
拦截规则: [秒杀]命令行危险操作
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:34:48
拦截次数: 1
进程名称: cmd.exe
进程路径: C:\Windows\System32\cmd.exe
进程命令行: "C:\Windows\System32\cmd.exe" /C PING localhost -n 8 >NUL & taskkill /F /IM "C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe" & ATTRIB -h -s "C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe" & del /f "C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe"
操作目标: C:\Windows\System32\attrib.exe

行为: 创建线程
拦截规则: 安全加固(禁止创建远程线程（远程注入）)
响应动作: 询问（拦截）
拦截时间: 2023-09-04 19:34:54
拦截次数: 1
进程名称: dllhost.exe
进程路径: C:\Windows\System32\dllhost.exe
进程命令行: C:\Windows\System32\dllhost.exe /Processid:{4fb6c92e-ee60-4de9-adde-47ab74254b35}
操作目标: C:\Windows\System32\dwm.exe

行为: 操作文件
拦截规则: [保护]写入系统文件(修改)
响应动作: 询问（允许）
拦截时间: 2023-09-04 19:35:00
拦截次数: 1
进程名称: attrib.exe
进程路径: C:\Windows\System32\attrib.exe
进程命令行: ATTRIB  -h -s "C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe"
操作目标: C:\Windows\$sxr-seroxen2\$sxr-Uni.bat.exe

行为: 创建线程
拦截规则: 安全加固(禁止创建远程线程（远程注入）)
响应动作: 询问（拦截）
拦截时间: 2023-09-04 19:35:04
拦截次数: 1
进程名称: dllhost.exe
进程路径: C:\Windows\System32\dllhost.exe
进程命令行: C:\Windows\System32\dllhost.exe /Processid:{4fb6c92e-ee60-4de9-adde-47ab74254b35}
操作目标: C:\Windows\System32\svchost.exe

行为: 创建线程
拦截规则: 安全加固(禁止创建远程线程（远程注入）)
响应动作: 询问（拦截）
拦截时间: 2023-09-04 19:35:28
拦截次数: 1
进程名称: dllhost.exe
进程路径: C:\Windows\System32\dllhost.exe
进程命令行: C:\Windows\System32\dllhost.exe /Processid:{4fb6c92e-ee60-4de9-adde-47ab74254b35}
操作目标: C:\Windows\System32\svchost.exe

行为: 创建线程
拦截规则: 安全加固(禁止创建远程线程（远程注入）)
响应动作: 询问（拦截）
拦截时间: 2023-09-04 19:35:28
拦截次数: 1
进程名称: dllhost.exe
进程路径: C:\Windows\System32\dllhost.exe
进程命令行: C:\Windows\System32\dllhost.exe /Processid:{4fb6c92e-ee60-4de9-adde-47ab74254b35}
操作目标: C:\Windows\System32\svchost.exe

行为: 创建线程
拦截规则: 安全加固(禁止创建远程线程（远程注入）)
响应动作: 询问（拦截）
拦截时间: 2023-09-04 19:35:30
拦截次数: 1
进程名称: dllhost.exe
进程路径: C:\Windows\System32\dllhost.exe
进程命令行: C:\Windows\System32\dllhost.exe /Processid:{4fb6c92e-ee60-4de9-adde-47ab74254b35}
操作目标: C:\Windows\System32\spoolsv.exe

图：

[病毒样本] x1 (2023-09-04)

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源