230912-01 #CobaltStrike #Veil

显示全部楼层 · 发表于 2023-9-12 21:11:24

金山毒霸扫描miss

显示全部楼层 · 发表于 2023-9-12 21:19:32

显示全部楼层 · 发表于 2023-9-12 21:38:15

本帖最后由 sanhu35 于 2023-9-12 22:22 编辑

创建副本，添加任务计划，然后退出

冰盾拦截事件：

行为: 操作文件
拦截规则: [结束]写入特殊目录(新建)
响应动作: 询问（允许）
拦截时间: 2023-09-12 21:36:22
拦截次数: 1
进程名称: Al Nahda manuelrey Chemicals Company-jpg-.exe
进程路径: C:\Users\Administrator\Desktop\Al Nahda manuelrey Chemicals Company-jpg-.exe
进程命令行: "C:\Users\Administrator\Desktop\Al Nahda manuelrey Chemicals Company-jpg-.exe"
操作目标: C:\Users\Administrator\AppData\Roaming\uEkcvFSlsVfFEI.exe

行为: 操作文件
拦截规则: [保护]写入高危文件(修改)
响应动作: 询问（允许）
拦截时间: 2023-09-12 21:36:26
拦截次数: 1
进程名称: Al Nahda manuelrey Chemicals Company-jpg-.exe
进程路径: C:\Users\Administrator\Desktop\Al Nahda manuelrey Chemicals Company-jpg-.exe
进程命令行: "C:\Users\Administrator\Desktop\Al Nahda manuelrey Chemicals Company-jpg-.exe"
操作目标: C:\Users\Administrator\AppData\Roaming\uEkcvFSlsVfFEI.exe

行为: 操作文件
拦截规则: [保护]写入高危文件(修改)
响应动作: 询问（允许）
拦截时间: 2023-09-12 21:36:28
拦截次数: 1
进程名称: Al Nahda manuelrey Chemicals Company-jpg-.exe
进程路径: C:\Users\Administrator\Desktop\Al Nahda manuelrey Chemicals Company-jpg-.exe
进程命令行: "C:\Users\Administrator\Desktop\Al Nahda manuelrey Chemicals Company-jpg-.exe"
操作目标: C:\Users\Administrator\AppData\Roaming\uEkcvFSlsVfFEI.exe

行为: 创建进程
拦截规则: 命令行添加任务计划
响应动作: 询问（允许）
拦截时间: 2023-09-12 21:37:00
拦截次数: 1
进程名称: Al Nahda manuelrey Chemicals Company-jpg-.exe
进程路径: C:\Users\Administrator\Desktop\Al Nahda manuelrey Chemicals Company-jpg-.exe
进程命令行: "C:\Users\Administrator\Desktop\Al Nahda manuelrey Chemicals Company-jpg-.exe"
操作目标: C:\Windows\SysWOW64\schtasks.exe

行为: 创建计划任务
拦截规则: 创建任务计划
响应动作: 询问（默认拦截）
拦截时间: 2023-09-12 21:37:00
拦截次数: 1
进程名称: svchost.exe
进程路径: C:\Windows\System32\svchost.exe
进程命令行: C:\Windows\system32\svchost.exe -k netsvcs -p
操作目标: Updates\uEkcvFSlsVfFEI|C:\Users\Administrator\AppData\Roaming\uEkcvFSlsVfFEI.exe

显示全部楼层 · 发表于 2023-9-12 21:46:35

McAfee hti
ti!67075D91FFC5

显示全部楼层 · 发表于 2023-9-12 22:13:52

sanhu35 发表于 2023-9-12 21:38
创建副本，添加任务计划，然后退出

你回帖回串了吧？你发的行为不是这个样本啊
是 https://bbs.kafan.cn/thread-2260474-1-1.html 的样本的行为

显示全部楼层 · 发表于 2023-9-12 22:20:46

神龟Turmi 发表于 2023-9-12 22:13
你回帖回串了吧？你发的行为不是这个样本啊
是 https://bbs.kafan.cn/thread-2260474-1-1.html 的样本的 ...

应该看混了，我发到那边去

显示全部楼层 · 发表于 2023-9-12 22:50:54

trend micro落地杀

显示全部楼层 · 发表于 2023-9-12 23:21:05

显示全部楼层 · 发表于 2023-9-13 08:40:10

Panda

2023/9/13/周三 8:38 已完成
检测到木马 Trj/CI.A 位置：C:\Users\Administrator\Desktop\230912-01-CobaltstrikeVeilPythonPYI\67075d91ffc50bc02bde4e68038648232b2efdd567de02f03d319833e1fe1994

复制代码

显示全部楼层 · 发表于 2023-9-13 14:29:19

[病毒样本] 230912-01 #CobaltStrike #Veil

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源