20X （11.23）

UNknownOoo

Hibike 发表于 2023-11-23 18:07
处罚名单（违规经销商）这个确认恶意吗

这个样本我本地没有跑出明显的行为...

但是相关的外联ip在奇安信沙箱里有CobaltStrike的记录

z614606517

小a  双击加扫描剩余 8个

Hibike

UNknownOoo 发表于 2023-11-23 18:28
这个样本我本地没有跑出明显的行为...

但是相关的外联ip在奇安信沙箱里有CobaltStrike的记录

嗯。目前卡巴UDS了。不过我倾向于这是无实质危害的红队样本

心醉咖啡

金山毒霸

lvzhiwei

赤豹10X

嘿嘿不能说

ESET（ML最高）：9

1. C:\Users\abori\Desktop\20X\10075.exe - Win64/Agent.MK 特洛伊木马 的变量 - 已通过删除清除 [1]
   
2. C:\Users\abori\Desktop\20X\11月10日最新发布-财会人员薪资补贴调所需材料.exe - Win64/Packed.Themida.L 可疑应用程序 的变量 - 已通过删除清除 [1]
   
3. C:\Users\abori\Desktop\20X\20230909112-0041.exe - Win32/Packed.Asprotect.A 可疑应用程序 的变量 - 已通过删除清除 [1]
   
4. C:\Users\abori\Desktop\20X\2023新发布-财会人员薪资补贴调整新政策所需材料.exe - Win32/GenKryptik.GQJI 特洛伊木马 的变量 - 已通过删除清除 [1]
   
5. C:\Users\abori\Desktop\20X\CobaltStrike1.exe - WinGo/Rozena.CZ 特洛伊木马 的变量 - 已通过删除清除 [1]
   
6. C:\Users\abori\Desktop\20X\山西证券股份有限公司岗位调整通知.exe - WinGo/Packed.Obfuscated.B 可疑应用程序 的变量 - 已通过删除清除 [1]
   
7. C:\Users\abori\Desktop\20X\漏洞自检程序cve-multiple.exe - WinGo/ShellcodeRunner.NZ 特洛伊木马 的变量 - 已通过删除清除 [1]
   
8. C:\Users\abori\Desktop\20X\四步骤处罚一刀切@D.chm > CHM > /stager.html > UNESCAPE > unescaped.html - HTML/Agent.GQ 特洛伊木马 - 已删除
   
9. C:\Users\abori\Desktop\20X\工资调节表 .chm > CHM > /stager.html > UNESCAPE > unescaped.html > UNESCAPE > unescaped.html - HTML/Agent.GQ 特洛伊木马 - 已删除

复制代码

二次扫描又杀4个（云拉黑）

1. C:\Users\abori\Desktop\20X\20231109.exe - Suspicious Object - 已通过删除清除 [1]
   
2. C:\Users\abori\Desktop\20X\2023A011setup.exe - Suspicious Object - 已通过删除清除 [1]
   
3. C:\Users\abori\Desktop\20X\2023年1-8月员工补缴社保明细(1).exe - Suspicious Object - 已通过删除清除 [1]
   
4. C:\Users\abori\Desktop\20X\出_票_单20231121.exe - Suspicious Object - 已通过删除清除 [1]

复制代码

行政服务智慧云平台移动新技术新业务信息安全评估报告.exe：击杀1衍生物

1. 2023/11/23 21:32:33
   
2. 
   
3. 文件系统实时防护
   
4. 
   
5. C:\Windows\Temp\shellcode_runner_classic-rs.exe
   
6. 
   
7. Win64/Rozena.RQ 特洛伊木马 的变量
   
8. 
   
9. 已通过删除清除

复制代码

处罚名单（违规经销商）.pdf.exe：我被骗了（悲）



2023年11月全国各大企业最新税收优惠政策汇总公告.exe：同文件夹下释放了wps.txt，运行一小段时间后自退

CobaltStrike.exe：C2已寄



民生证券-持仓数据导出.msi：防御失败



疑似无法运行（或反虚拟机）：

（2)超比例安置残疾人就业奖励的通知3242.exe

相关岗位JD及甲方公司介绍20231123.exe

hansyu

McAfee 扫描10x
双击防火墙拦截1x，杀衍生物1x

a1414007

avg kill 11x

hhjjjjjj123

360云全捉

biue