DARKGATE (2023-10-15)

petr0vic

123456aaaafsdeg

GreatMOLA

Executed, error.

dght432

类型:木马-virus.vbs.qexvmc.1065
描述:木马是一种伪装成正常文件的恶意软件，会盗取您的帐号、密码等隐私资料。
扫描引擎:QEX引擎
文件路径:D:\下载\1\1.vbs
文件大小:2.1K (2,116 字节)
文件指纹（MD5）:a953ad8c903f22965c21cc626a257cae
处理建议:隔离文件

GreatMOLA

ChatGPT miss


Second analysis and human assistance, kill.

装甲未被击穿

组件: 文件反病毒
结果说明: 已删除
类型: 木马
名称: HEUR:Trojan.Script.Generic
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: 1.vbs
对象路径: C:\Users\vmtes\Desktop
MD5: A953AD8C903F22965C21CC626A257CAE

UNknownOoo

火绒
扫描：MISS

双击：MISS

猥琐大叔

anthonyqian

GreatMOLA 发表于 2023-10-15 19:35
ChatGPT miss

还是得GPT-4.。。。

这个提供的VBS（Visual Basic Script）代码看起来有恶意。代码被混淆以掩盖其实际功能，但从我所能分辨出的来看，代码执行以下操作：

尝试使用GetObject("winmgmts:\\.\root\cimv2")连接到本地机器上的WMI（Windows管理工具）。
然后执行一个WMI查询，收集系统上所有正在运行的进程的名称（Select * from Win32_Process），并将它们连接成一个单一的字符串iXwHVLFkwPCmNj。
脚本通过拼接字符串的各个部分来构建一个URL（hEhydgOAYH）。这似乎是为某个HTTP POST请求设计的，可能用于将先前收集的信息发送到远程服务器。
创建一个WINHTTP.WinHTTPRequest.5.1对象以执行一个HTTP POST请求到拼凑的URL，发送之前收集的数据。
它似乎使用ShellExecute来运行一个shell命令（cmd），而且HTTP POST请求的响应可能用作此命令的参数，这可能执行进一步的恶意活动。

GreatMOLA

anthonyqian 发表于 2023-10-15 19:52
还是得GPT-4.。。。

这个提供的VBS（Visual Basic Script）代码看起来有恶意。代码被混淆以掩盖其实际 ...

哈哈，是的。3.5只有在人工给予提示的情况下才能得到类似结论。