#Injector #RaccoonStealer

显示全部楼层 · 发表于 2023-10-25 14:53:42

本帖最后由 swizzer 于 2023-10-26 12:07 编辑

https://cowtransfer.com/s/f5bce012bf4346

双击setup.exe即可。当然你也可以解压cab文件后双击vmtoolsd.exe，不过需要把dll的文件名添加上对应的'-'符号。

核心在于使用DirectSyscall + Process Doppelganger 注入explorer.exe。

不得不说ESET真的厉害（
VT仅此一家

显示全部楼层 · 发表于 2023-10-25 15:03:13

本帖最后由秋日之殇于 2023-10-25 15:04 编辑

执行后触发卡巴pdm
PDM:Exploit.Win32.Generic

显示全部楼层 · 发表于 2023-10-25 15:05:35

小A双击扫描都MISS，毛豆惯例入沙。微软云拦截。

显示全部楼层 · 发表于 2023-10-25 15:14:41

秋日之殇发表于 2023-10-25 15:03
执行后触发卡巴pdm
PDM:Exploit.Win32.Generic

我怀疑卡巴是默认阻止未授权的vmtoolsd启动行为的。之前一些MD的白加黑也是直接白程序都无法启动。

显示全部楼层 · 发表于 2023-10-25 15:21:52

DI miss。注入行为非常成功（

显示全部楼层 · 发表于 2023-10-25 15:22:34

360扫描miss 双击拦截注入
时间操作说明次数
2023-10-25 15:21:16 [已阻止] 远程线程注入防护 1 次
详细描述：
进程：C:\Users\user\AppData\Roaming\usp10\vmtoolsd.exe
动作：远程线程注入
路径：C:\Windows\SysWOW64\cmd.exe
风险文件：E:\edge_down\test\Injector\database.msi
拦截补充描述：程序正在进行远程线程注入，将代码藏匿到其他进程来运行，木马通常以此来隐藏自己的恶意行为。如果您不认识此程序，请阻止。

显示全部楼层 · 发表于 2023-10-25 15:28:12

显示全部楼层 · 发表于 2023-10-25 15:38:18

本帖最后由秋日之殇于 2023-10-25 15:44 编辑

swizzer 发表于 2023-10-25 15:14
我怀疑卡巴是默认阻止未授权的vmtoolsd启动行为的。之前一些MD的白加黑也是直接白程序都无法启动。

对的，是直接阻止了vmtoolsd的启动，解压.cab.直接执行exe也会触发PDM

显示全部楼层 · 发表于 2023-10-25 15:50:45

其实不做“精细”分类的话，会好很多，虽然这个建议也不希求被采纳就是了

显示全部楼层 · 发表于 2023-10-25 15:57:24

[病毒样本] #Injector #RaccoonStealer

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源