龟包 231119 20X

神龟Turmi

PUB4 Botnet的SmokeLoader换了新的域名，然后VT初扫一下没了接近一半。。。难道之前一半特征加的都是明文url？

下载：https://share.weiyun.com/3MhfX6zH
海外分流：https://k00.fr/guibao1119 | password: turtle

WithSecure：



扫描17X 双击2X 合计19/20
01号样本rundll32 foo,#1/StartW都没有运行成功，上班摸鱼没仔细研究函数了，有时间的大佬看看吧

真小读者

瑞星17X

wwwab

16

1. 病毒详情：
   
2. 风险路径：C:\Users\Administrator\Downloads\1119\231119-09-Msfvenom-8e9e77.exe, 病毒名：Backdoor/W64.Meterpreter.b, 病毒ID：039db99588a1e0ee, 处理结果：已处理，删除文件
   
3. 风险路径：C:\Users\Administrator\Downloads\1119\231119-02-CobaltStrike-c13012.dll, 病毒名：Backdoor/CobaltStrike.t, 病毒ID：7a5c9ba11c1c37f3, 处理结果：已处理，删除文件
   
4. 风险路径：C:\Users\Administrator\Downloads\1119\231119-08-XWorm-5549aa.exe, 病毒名：Backdoor/MSIL.DDos.b, 病毒ID：85619156c23b5fc1, 处理结果：已处理，删除文件
   
5. 风险路径：C:\Users\Administrator\Downloads\1119\231119-03-CobaltStrike-9ed78e.exe, 病毒名：TrojanDownloader/Agent.aur, 病毒ID：efe0a49be943b05e, 处理结果：已处理，删除文件
   
6. 风险路径：C:\Users\Administrator\Downloads\1119\231119-01-Msfvenom-aeefe7.dll, 病毒名：HVM:Trojan/Swrort.gen!A, 病毒ID：d6e29035d2489e60, 处理结果：已处理，删除文件
   
7. 风险路径：C:\Users\Administrator\Downloads\1119\231119-17-Lokibot-e28eda.exe, 病毒名：HEUR:VirTool/MSIL.Obfuscator.gen!A, 病毒ID：3fda44dcb57a42be, 处理结果：已处理，删除文件
   
8. 风险路径：C:\Users\Administrator\Downloads\1119\231119-13-CobaltStrike-0c6f33.exe, 病毒名：Backdoor/CobaltStrike.fi, 病毒ID：c2f7604c2d8b4991, 处理结果：已处理，删除文件
   
9. 风险路径：C:\Users\Administrator\Downloads\1119\231119-19-BlackMoon-31e6ea.exe, 病毒名：TrojanSpy/QQPass.bc, 病毒ID：c16ae825007a634e, 处理结果：已处理，删除文件
   
10. 风险路径：C:\Users\Administrator\Downloads\1119\231119-20-44Caliber-f799cc.exe, 病毒名：Trojan/MSIL.CoinStealer.c, 病毒ID：efa2c07bd2b7fe60, 处理结果：已处理，删除文件
    
11. 风险路径：C:\Users\Administrator\Downloads\1119\231119-10-CobaltStrikeGO-dca37c.exe, 病毒名：Trojan/ShellLoader.fy, 病毒ID：c0d8d8fedecaf932, 处理结果：已处理，删除文件
    
12. 风险路径：C:\Users\Administrator\Downloads\1119\231119-16-CobaltStrike-fd579e.exe >> notepd.exe, 病毒名：Backdoor/CobaltStrike.d, 病毒ID：9c6caf6b7979d2d0, 处理结果：已处理，删除文件
    
13. 风险路径：C:\Users\Administrator\Downloads\1119\231119-15-CobaltStrike-aa3f9c.exe, 病毒名：Backdoor/CobaltStrike.t, 病毒ID：7a5c9ba11c1c37f3, 处理结果：已处理，删除文件
    
14. 风险路径：C:\Users\Administrator\Downloads\1119\231119-14-CobaltStrike-df91d7.exe, 病毒名：Backdoor/CobaltStrike.t, 病毒ID：7a5c9ba11c1c37f3, 处理结果：已处理，删除文件
    
15. 风险路径：C:\Users\Administrator\Downloads\1119\231119-04-BlackMoon-c54bb6.exe, 病毒名：HVM:Trojan/MalBehav.gen!G, 病毒ID：ee33171609e5dc92, 处理结果：已处理，删除文件
    
16. 风险路径：C:\Users\Administrator\Downloads\1119\231119-05-SmokeLoader-393ec8.exe, 病毒名：VirTool/Obfuscator.fq, 病毒ID：87f0b01289503335, 处理结果：已处理，删除文件
    
17. 风险路径：C:\Users\Administrator\Downloads\1119\231119-07-Quasar-422c25.exe, 病毒名：TrojanSpy/Python.Stealer.d, 病毒ID：d06410f9a3897eb1, 处理结果：已处理，删除文件
    

复制代码

PYAS_Security

PYAS V2.9.2 本地引擎 Kill 8

嘿嘿不能说

1. C:\Users\Killer\Desktop\1119\231119-01-Msfvenom-aeefe7.dll [L] Win32:HacktoolX-gen [Trj] (0)
   
2. C:\Users\Killer\Desktop\1119\231119-02-CobaltStrike-c13012.dll [L] Win64:CobaltStrike-A [Trj] (0)
   
3. C:\Users\Killer\Desktop\1119\231119-03-CobaltStrike-9ed78e.exe [L] Win64:Evo-gen [Trj] (0)
   
4. C:\Users\Killer\Desktop\1119\231119-04-BlackMoon-c54bb6.exe [L] Win32:MalwareX-gen [Trj] (0)
   
5. C:\Users\Killer\Desktop\1119\231119-05-SmokeLoader-393ec8.exe [L] Win32:CrypterX-gen [Trj] (0)
   
6. C:\Users\Killer\Desktop\1119\231119-06-AgentTesla-3a4daf.exe [L] Win32:TrojanX-gen [Trj] (0)
   
7. C:\Users\Killer\Desktop\1119\231119-07-Quasar-422c25.exe [L] Win32:Agent-BDOJ [Trj] (0)
   
8. C:\Users\Killer\Desktop\1119\231119-08-XWorm-5549aa.exe [L] Win32:RATX-gen [Trj] (0)
   
9. C:\Users\Killer\Desktop\1119\231119-09-Msfvenom-8e9e77.exe [L] Win32:MsfShell-V [Hack] (0)
   
10. C:\Users\Killer\Desktop\1119\231119-10-CobaltStrikeGO-dca37c.exe [L] Win64:TrojanX-gen [Trj] (0)
    
11. C:\Users\Killer\Desktop\1119\231119-11-MsfvenomPYI-e1ed51.exe [L] Win64:Malware-gen (0)
    
12. C:\Users\Killer\Desktop\1119\231119-13-CobaltStrike-0c6f33.exe [L] Win64:TrojanX-gen [Trj] (0)
    
13. C:\Users\Killer\Desktop\1119\231119-14-CobaltStrike-df91d7.exe [L] Win64:TrojanX-gen [Trj] (0)
    
14. C:\Users\Killer\Desktop\1119\231119-15-CobaltStrike-aa3f9c.exe [L] Win64:TrojanX-gen [Trj] (0)
    
15. C:\Users\Killer\Desktop\1119\231119-16-CobaltStrike-fd579e.exe|>notepd.exe [L] Win64:HacktoolX-gen [Trj] (0)
    
16. C:\Users\Killer\Desktop\1119\231119-17-Lokibot-e28eda.exe [L] Win32:PWSX-gen [Trj] (0)
    
17. C:\Users\Killer\Desktop\1119\231119-18-Karius-05b410.exe [L] Win64:Evo-gen [Trj] (0)
    
18. C:\Users\Killer\Desktop\1119\231119-20-44Caliber-f799cc.exe [L] Win32:MalwareX-gen [Trj] (0)
    
19. C:\Users\Killer\Desktop\1119\231119-16-CobaltStrike-fd579e.exe [L] FileRepMalware [Hack] (0)

复制代码

剩一个运行一段时间无任何拦截

跑着跑着自退了，再次复测，发现被反漏洞利用防护击杀（？？？？？？）



一次：19

二次：20





娱乐测试，2023.09.07镜像，断网仅扫描，5个（

1. C:\Users\Killer\Desktop\1119\231119-02-CobaltStrike-c13012.dll [L] Win64:CobaltStrike-A [Trj] (0)
   
2. C:\Users\Killer\Desktop\1119\231119-08-XWorm-5549aa.exe [L] Win32:RATX-gen [Trj] (0)
   
3. C:\Users\Killer\Desktop\1119\231119-09-Msfvenom-8e9e77.exe [L] Win32:MsfShell-V [Hack] (0)
   
4. C:\Users\Killer\Desktop\1119\231119-16-CobaltStrike-fd579e.exe|>notepd.exe [L] Win64:HacktoolX-gen [Trj] (0)
   
5. C:\Users\Killer\Desktop\1119\231119-20-44Caliber-f799cc.exe [L] Win32:MalwareX-gen [Trj] (0)

复制代码

附送一个2023.09.09的卡巴镜像，断网仅扫描，8个（

1. 今天，2023/11/19 15:10:19        C:\Users\Killer\Desktop\1119\231119-16-CobaltStrike-fd579e.exe\#        检测到        检测到恶意对象        HEUR:Trojan.Win64.CobaltStrike.gen        专家分析        文件        C:\Users\Killer\Desktop\1119\231119-16-CobaltStrike-fd579e.exe//        #        检测到        木马        高        启发式分析        
   
2. 今天，2023/11/19 15:10:18        C:\Users\Killer\Desktop\1119\231119-16-CobaltStrike-fd579e.exe\notepd.exe        检测到        检测到恶意对象        HEUR:Trojan.Win64.CobaltStrike.gen        专家分析        文件        C:\Users\Killer\Desktop\1119\231119-16-CobaltStrike-fd579e.exe//        notepd.exe        检测到        木马        高        启发式分析        
   
3. 今天，2023/11/19 15:10:18        C:\Users\Killer\Desktop\1119\231119-20-44Caliber-f799cc.exe        检测到        检测到恶意对象        HEUR:Trojan-PSW.MSIL.Stealer.gen        专家分析        文件        C:\Users\Killer\Desktop\1119        231119-20-44Caliber-f799cc.exe        检测到        木马        高        确切        
   
4. 今天，2023/11/19 15:10:14        C:\Users\Killer\Desktop\1119\231119-10-CobaltStrikeGO-dca37c.exe        检测到        检测到恶意对象        HEUR:Trojan.Win64.Goshell.gen        专家分析        文件        C:\Users\Killer\Desktop\1119        231119-10-CobaltStrikeGO-dca37c.exe        检测到        木马        高        启发式分析        
   
5. 今天，2023/11/19 15:10:14        C:\Users\Killer\Desktop\1119\231119-11-MsfvenomPYI-e1ed51.exe\1118en+de        检测到        检测到恶意对象        HEUR:Trojan.Python.Agent.gen        专家分析        文件        C:\Users\Killer\Desktop\1119\231119-11-MsfvenomPYI-e1ed51.exe//        1118en+de        检测到        木马        高        启发式分析        
   
6. 今天，2023/11/19 15:10:13        C:\Users\Killer\Desktop\1119\231119-09-Msfvenom-8e9e77.exe        检测到        检测到恶意对象        HEUR:Trojan.Win32.Generic        专家分析        文件        C:\Users\Killer\Desktop\1119        231119-09-Msfvenom-8e9e77.exe        检测到        木马        高        不确切        
   
7. 今天，2023/11/19 15:10:09        C:\Users\Killer\Desktop\1119\231119-07-Quasar-422c25.exe\rarreg.key        检测到        检测到恶意对象        Trojan-Spy.Win32.Agent.dffz        数据库        文件        C:\Users\Killer\Desktop\1119\231119-07-Quasar-422c25.exe//        rarreg.key        检测到        木马        高        确切        
   
8. 今天，2023/11/19 15:10:05        C:\Users\Killer\Desktop\1119\231119-08-XWorm-5549aa.exe        检测到        检测到恶意对象        HEUR:Backdoor.MSIL.XWorm.gen        机器学习        文件        C:\Users\Killer\Desktop\1119        231119-08-XWorm-5549aa.exe        检测到        木马        高        启发式分析        
   
9. 今天，2023/11/19 15:10:03        C:\Users\Killer\Desktop\1119\231119-01-Msfvenom-aeefe7.dll        检测到        检测到恶意对象        HEUR:Trojan.Win32.Cometer.gen        专家分析        文件        C:\Users\Killer\Desktop\1119        231119-01-Msfvenom-aeefe7.dll        检测到        木马        高        不确切        

复制代码

2023.09.25，ESET，断网仅扫描，默认下6个（

1. C:\Users\abori\Desktop\1119 (2)\231119-04-BlackMoon-c54bb6.exe - ML/Augur 特洛伊木马 - 已通过删除清除 [1]
   
2. C:\Users\abori\Desktop\1119 (2)\231119-07-Quasar-422c25.exe - Win64/Packed.PyInstaller.L 特洛伊木马 的变量 - 已通过删除清除 [1]
   
3. C:\Users\abori\Desktop\1119 (2)\231119-08-XWorm-5549aa.exe - MSIL/Agent.DWN 特洛伊木马 的变量 - 已通过删除清除 [1]
   
4. C:\Users\abori\Desktop\1119 (2)\231119-16-CobaltStrike-fd579e.exe > WINRARSFX > notepd.exe - Win64/CobaltStrike.Artifact.A 特洛伊木马 的变量 - 已通过删除清除 [1]
   
5. C:\Users\abori\Desktop\1119 (2)\231119-19-BlackMoon-31e6ea.exe - Win32/PSW.QQPass_AGen.D 特洛伊木马 的变量 - 已通过删除清除 [1]
   
6. C:\Users\abori\Desktop\1119 (2)\231119-20-44Caliber-f799cc.exe - MSIL/PSW.CoinStealer.CC 特洛伊木马 的变量 - 已通过删除清除 [1]

复制代码

手动把机器学习部分全调到具有攻击性，再杀5个（

1. C:\Users\abori\Desktop\1119 (2)\231119-02-CobaltStrike-c13012.dll - ML/Augur 特洛伊木马 - 已通过删除清除 [1]
   
2. C:\Users\abori\Desktop\1119 (2)\231119-05-SmokeLoader-393ec8.exe - ML/Augur 特洛伊木马 - 已通过删除清除 [1]
   
3. C:\Users\abori\Desktop\1119 (2)\231119-06-AgentTesla-3a4daf.exe - ML/Augur 特洛伊木马 - 已通过删除清除 [1]
   
4. C:\Users\abori\Desktop\1119 (2)\231119-17-Lokibot-e28eda.exe - ML/Augur 特洛伊木马 - 已通过删除清除 [1]
   
5. C:\Users\abori\Desktop\1119 (2)\231119-18-Karius-05b410.exe - ML/Augur 特洛伊木马 - 已通过删除清除 [1]

复制代码

2023.08.07，360（套装），断网仅扫描，9个（

wwwab

wwwab 发表于 2023-11-19 11:55
16

双击加一个

1. 病毒名称：ADV:Trojan/GenInjector.A!1.27
   
2. 病毒路径：C:\Users\Administrator\Downloads\1119\231119-06-AgentTesla-3a4daf.exe
   
3. 操作结果：已处理，删除文件
   
4. 
   
5. 进程ID：828
   
6. 操作进程命令行："C:\Users\Administrator\Downloads\1119\231119-06-AgentTesla-3a4daf.exe"
   
7. 父进程ID：6064
   
8. 父进程：C:\Windows\explorer.exe
   
9. 父进程命令行：C:\Windows\Explorer.EXE

复制代码

UNknownOoo

X-Sec
扫描：18X

1. ---------------------
   
2. 2023/11/19 12:05:28 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-02-CobaltStrike-c13012.dll -- [rame-classic] Backdoor.CobaltStrike!1.D418
   
3. 2023/11/19 12:05:29 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-05-SmokeLoader-393ec8.exe -- [rame-tfe] Stealer.Convagent!8.1326D
   
4. 2023/11/19 12:05:29 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-04-BlackMoon-c54bb6.exe -- [rame-tfe] Malware.Undefined!8.C
   
5. 2023/11/19 12:05:29 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-06-AgentTesla-3a4daf.exe -- [rame-rdm.msil2] Malware.Obfus/MSIL@AI.81
   
6. 2023/11/19 12:05:29 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-01-Msfvenom-aeefe7.dll -- [xave-cloud] Backdoor.Generic
   
7. 2023/11/19 12:05:30 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-08-XWorm-5549aa.exe -- [xave-cloud] Backdoor.Generic
   
8. 2023/11/19 12:05:31 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-09-Msfvenom-8e9e77.exe -- [xave-cloud] Backdoor.Generic
   
9. 2023/11/19 12:05:31 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-07-Quasar-422c25.exe -- [rame-classic] Spyware.Agent/PYC!1.EA8F
   
10. 2023/11/19 12:05:31 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-10-CobaltStrikeGO-dca37c.exe -- [rame-cloud] Trojan.Goshell!8.1818E
    
11. 2023/11/19 12:05:32 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-13-CobaltStrike-0c6f33.exe -- [rame-classic] Backdoor.CobaltStrike!1.ED59
    
12. 2023/11/19 12:05:33 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-16-CobaltStrike-fd579e.exe -- [rame-classic] Backdoor.CobaltStrike/x64!1.D04A
    
13. 2023/11/19 12:05:33 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-14-CobaltStrike-df91d7.exe -- [rame-cloud] Trojan.Generic!8.C3
    
14. 2023/11/19 12:05:33 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-11-MsfvenomPYI-e1ed51.exe -- [rame-cloud] Trojan.Agent!8.B1E
    
15. 2023/11/19 12:05:33 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-17-Lokibot-e28eda.exe -- [rame-rdm.msil2] Malware.Obfus/MSIL@AI.94
    
16. 2023/11/19 12:05:33 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-15-CobaltStrike-aa3f9c.exe -- [rame-cloud] Trojan.Generic!8.C3
    
17. 2023/11/19 12:05:34 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-19-BlackMoon-31e6ea.exe -- [xave-cloud] Trojan.Generic
    
18. 2023/11/19 12:05:34 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-18-Karius-05b410.exe -- [rame-cloud] Stealer.Stealerc!8.17BE0
    
19. 2023/11/19 12:05:35 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-20-44Caliber-f799cc.exe -- [xave-cloud] Trojan.Generic

复制代码

奇安信家扫描器
扫描：16X

1. Backdoor.MPE.CobaltStrike.I        本地引擎        9b40aa0d18237d35edfc5639879c6d4b        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-02-CobaltStrike-c13012.dll
   
2. Backdoor.Win32.FBHZQ.A        本地引擎        418f39605bf9ef7f4fb9d3688a72d44d        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-17-Lokibot-e28eda.exe
   
3. Trojan.Win64.Cobaltstrike.A        本地引擎        3c0556e311c51837b9e205fc4707fa39        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-16-CobaltStrike-fd579e.exe
   
4. Trojan.MPE.QQpass.BX        本地引擎        200a50c7dd992835d7442181689f7495        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-19-BlackMoon-31e6ea.exe
   
5. Trojan.MPE.MSIL_Coins.A        本地引擎        13f6ee53ebc90816222a396c01d9ddbc        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-20-44Caliber-f799cc.exe
   
6. Win32/Trojan.ca6        云引擎        234f10adf43fc8b9c00f39224b652a99        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-18-Karius-05b410.exe
   
7. Backdoor.CobaltStrike.77bb        云引擎        214fae5a642240511b66047cc90a63a5        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-13-CobaltStrike-0c6f33.exe
   
8. QDE.V2.3.7661KM4LB.1A5        云引擎        e73d9a2bdbe5e3b4ed335627a77604d2        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-04-BlackMoon-c54bb6.exe
   
9. TrojanDownloader.Agent.17ea        云引擎        66a27812c9b320c7ac6baa336c63ae96        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-03-CobaltStrike-9ed78e.exe
   
10. QDE.V2.3.1LDCDDNAFX.1B1        云引擎        1be44c007948fc75ef5795bbc111d041        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-09-Msfvenom-8e9e77.exe
    
11. QDE.V2.3.SOO686JAL.F1        云引擎        aa9d4d78fb2f3a334a0c6d7e749b8070        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-01-Msfvenom-aeefe7.dll
    
12. QDE.V2.3.36QOQRAKXE.VX        AI引擎        2fc91b876455d38cc9656e4e265de336        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-08-XWorm-5549aa.exe
    
13. QDE.V2.3.1LDCDDNAFX.1B1        AI引擎        9b80b4d4d06d847e1bf35c42291189b4        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-10-CobaltStrikeGO-dca37c.exe
    
14. QDE.V2.3.36QOQRAKUO.1ML        AI引擎        f196c0c3b9aa4b1b7012663da4b9f74f        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-07-Quasar-422c25.exe
    
15. QDE.V2.3.7661O7ESH.JH        AI引擎        10a62c4b81c6de3b03baddf564722ea3        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-05-SmokeLoader-393ec8.exe
    
16. QDE.V2.3.36QOQRAKXE.VX        AI引擎        e0bcb417f88eb3763db1da03853375e1        清理成功        C:\Users\UnknownOoo\Downloads\Compressed\1119\231119-06-AgentTesla-3a4daf.exe
    

复制代码

wwwab

wwwabantivirus scanner

联网kill all
断网kill 3

hansyu

McAfee 扫描清空

Keyang556c

windows defenderr 14個