毒鼠白加黑

显示全部楼层 · 发表于 2023-11-6 23:19:58

本帖最后由 hsks 于 2023-11-6 23:40 编辑

总算换了一套（

虽然还是饥荒（
https://www.virustotal.com/gui/f ... e6244e784?nocache=1

https://wwtw.lanzouq.com/i60Hf1e0ke8d

是昨晚23时的新into.txt（downloader配置还是老的info.txt）
C2：206.238.199.48:8668

这波微步加大分（

显示全部楼层 · 发表于 2023-11-6 23:29:47

本帖最后由隔山打空气于 2023-11-7 10:14 编辑

DeepInstinct dll missed（静态）
呃，但是...把那个exe给干掉了，你就说能不能阻止运行吧（

显示全部楼层 · 发表于 2023-11-6 23:37:09

隔山打空气发表于 2023-11-6 23:29
DeepInstinct dll missed
呃，但是...把那个exe给干掉了，你就说能不能阻止运行吧（

是不是因为这exe太罕见了（18年签名，今日才上传到VT），再加上VT的《 Signed file, valid signature. Revoked. 》才误杀的（

显示全部楼层 · 发表于 2023-11-6 23:40:28

hsks 发表于 2023-11-6 23:37
是不是因为这exe太罕见了（18年签名，今日才上传到VT），再加上VT的《 Signed file, valid signature. Re ...

他们收集样本不能总靠vt吧，5年前的文件早应该捕获到并加白了

显示全部楼层 · 发表于 2023-11-6 23:42:12

hsks 发表于 2023-11-6 23:37
是不是因为这exe太罕见了（18年签名，今日才上传到VT），再加上VT的《 Signed file, valid signature. Re ...

不知道，毕竟ML他就是个黑盒子，而且D-Brain的置信度是低，可能跟revoked的签名也有一定的加分关系

但总之这多少有点误报的味道了（其实要是按revoked这么考虑的话也能理解，那就也不完全算？）

显示全部楼层 · 发表于 2023-11-6 23:47:56

卡巴通杀info.txt 值得加分吗？

显示全部楼层 · 发表于 2023-11-6 23:49:45

Eset小粉絲发表于 2023-11-6 23:47
卡巴通杀info.txt 值得加分吗？

说不定下次的info.txt就被过了（记得没错的话老的样本卡巴刚开始是不杀的）

不过该加的肯定是要加的（

显示全部楼层 · 发表于 2023-11-6 23:57:05

感觉这dll还不如直接拉黑了，分析个锤子

显示全部楼层 · 发表于 2023-11-7 00:04:23

本帖最后由 UNknownOoo 于 2023-11-7 00:17 编辑

火绒
扫描&双击：MISS
寄

金山扫描：MISS
双击：内存特征秒了（虽然没有定位到黑dll，只隔离了白文件

显示全部楼层 · 发表于 2023-11-7 00:19:13

曾经样本区有个Cerber爱好者（上古勒索
现在Cerber爱好者随着Cerber不再活跃也消失很久了
然后又来了个毒鼠爱好者

[病毒样本] 毒鼠白加黑