APT测试第五期样本

显示全部楼层 · 发表于 2023-11-7 01:15:02

样本来自https://bbs.kafan.cn/thread-2261654-1-1.html的组A
由于组B是powershell脚本且必须连接C2才能完整下载，故无法提供
C2服务器已销毁，理论上没有安全问题，但这不是保证

每一组的A-F均为相同的样本，但有不同的hash（用于避免测试过程中被上传导致的云拉黑）
两个dll样本需要使用regsvr32执行，命令为“regsvr32 c:\xxx\xxx.dll”

下载：https://share.weiyun.com/rYwk1A1A
海外分流：https://k00.fr/f7l2fv9u 密码：turtle
解压密码：wugui123

@hsks 这回还要不要传Triage一次占用他们60台VM（逃

显示全部楼层 · 发表于 2023-11-7 02:14:18

本帖最后由 GDHJDSYDH 于 2023-11-7 06:31 编辑

EIS清空; MD扫描剩余18x，沙箱内双击其余的exe只杀了个02-B其余的都被KART阻止无法双击运行测试，没有加载dll测试运行

显示全部楼层 · 发表于 2023-11-7 02:59:57

本帖最后由 LSPLDD 于 2023-11-7 09:06 编辑

卡巴扫描kill 01组

02、04、05组运行miss(卡巴免费版测试)
03组没运行起来。。。

显示全部楼层 · 发表于 2023-11-7 03:49:38

LSPLDD 发表于 2023-11-7 02:59
卡巴扫描kill 01组

02、04、05组运行miss(卡巴免费版测试)

这些样本都是楼主在国外板块测试过的了，miss的有空直接上报一下

显示全部楼层 · 发表于 2023-11-7 04:41:47

本帖最后由神龟Turmi 于 2023-11-7 04:47 编辑

LSPLDD 发表于 2023-11-7 02:59
卡巴扫描kill 01组

02、04、05组运行miss(卡巴免费版测试)

01是VHO转的UDS 初次测试时报毒名相同但是前缀是VHO
02 03 04 05的miss和测试时相同
03运行不了是意料之中我没钱买VMP 用的是VMP Demo
Demo版的限制是在哪个机器加壳就只能在哪个机器运行
反正C2服务器已经销毁了测测扫描就好了没太大双击的必要了

没有C2的情况下判断有没有执行成功 01-03号样本可以通过观察持久化步骤
它正常情况下运行之后会把自己复制到ProgramData下并且重命名为ProbNimW.exe
如果它这么干了那前置步骤就是ok了
04和05是C2下发BypassUAC之后才会持久化所以此方法无效但是可以重温一下我测试的视频

常见的杀软我都测了的放出来样本就是单纯放个样本而已

显示全部楼层 · 发表于 2023-11-7 08:05:31

360安全卫士

显示全部楼层 · 发表于 2023-11-7 08:06:48

显示全部楼层 · 发表于 2023-11-7 08:23:36

本帖最后由 hhhq316 于 2023-11-7 13:08 编辑

蜘蛛扫描0
EMSI扫描12

剩下双击

最后剩

显示全部楼层 · 发表于 2023-11-7 08:30:08

火绒还是这几个...

显示全部楼层 · 发表于 2023-11-7 09:10:52

本帖最后由真小读者于 2023-11-7 09:16 编辑

身处国内却要从海外分流下载。
瑞星18X

[病毒样本] APT测试第五期样本

评分

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源