FakeAPP

显示全部楼层 · 发表于 2023-11-23 00:30:29

本帖最后由 hsks 于 2023-11-23 01:06 编辑

https://wwtw.lanzouq.com/inFGD1fobv4h
Downloader：https://www.virustotal.com/gui/f ... e64e76b2e/detection
黑dll：https://www.virustotal.com/gui/f ... 14304de27?nocache=1

C2：192.252.182.53
阿里巴巴白加黑

这系列downloader从8月末开始到现在似乎一直在增强免杀...（对火绒来说）
好吧，ESET的特征从Injector.JN到现在的GenKryptik.GDVN（

顺便（没什么事）附上一些这系列downloader的行为（基本都是这一套流程打下来）
先Drop一个bat然后利用它注册表关闭UAC

有道云词典投递payload

调用cmd合并成黑dll

调用netsh.exe

很有特点（？）的C2（IP+/+\）

固定的白加黑组件（白exe+shellcode+黑dll+运行必需的白dll）

其他沙箱看不到的行为有：解压带密码的压缩包（A-Z.jpg）

话说给这downloader起什么名字呢（
@UNknownOoo

显示全部楼层 · 发表于 2023-11-23 00:34:25

本帖最后由 LSPLDD 于 2023-11-23 00:39 编辑

卡巴双击kill
成功回滚

显示全部楼层 · 发表于 2023-11-23 01:17:02

比特分企业精英版直接都不让下载

显示全部楼层 · 发表于 2023-11-23 01:18:08

高级威胁防护阻止了一个恶意进程。进程路径: C:\Windows\System32\netsh.exe. 威胁名称: ATC.SuspiciousBehavior.A697B352647CB6CE.
高级威胁防护阻止了一个恶意进程。进程路径: C:\Users\123456\Desktop\Whatsapp.exe. 威胁名称: ATC.SuspiciousBehavior.A697B35245356DAE.

显示全部楼层 · 发表于 2023-11-23 01:19:13

z614606517 发表于 2023-11-23 01:17
比特分企业精英版直接都不让下载

这是蓝奏的部分链接被拉黑了

显示全部楼层 · 发表于 2023-11-23 01:25:05

117054487 发表于 2023-11-23 01:19
这是蓝奏的部分链接被拉黑了

我到现在都没研究出来怎么关掉这个功能

显示全部楼层 · 发表于 2023-11-23 02:14:35

EIS kill

显示全部楼层 · 发表于 2023-11-23 08:07:32

金山毒霸扫描miss

显示全部楼层 · 发表于 2023-11-23 08:56:48

类型:木马-Win64/Trojan.Generic.HgEATOMA
描述:木马是一种伪装成正常文件的恶意软件，会盗取您的帐号、密码等隐私资料。
扫描引擎:云安全引擎
文件路径:D:\360安全浏览器下载\Whatsapp\Whatsapp.exe
文件大小:16.35M (17,149,440 字节)
文件指纹（MD5）:44843a6a24f1a24617701b349bb91c5d
处理建议:隔离文件

显示全部楼层 · 发表于 2023-11-23 12:27:34

火绒家特征偶尔会糊弄人的（

火绒
扫描&双击：MISS

[病毒样本] FakeAPP

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块