龟包 231202 9X (含2X白加黑)

117054487

BEST 漏一个白加黑

Hibike

智量 8/9
剩余Quasar。白加黑均在注入MSBuild后被内存检测（顺带还有拦截持久化操作）

1. 2023-12-01 18:20:45|C:\Users\Precuwa\Desktop\1201\231201-01-AgentTesla-b248e4.exe|Heur.ML.PE.C
   
2. 2023-12-02 15:44:58|C:\Users\Precuwa\Desktop\1202\231202-03-Stealc-42c140.exe|Heur.ML.PE.A
   
3. 2023-12-02 15:44:58|C:\Users\Precuwa\Desktop\1202\231202-04-Redline-c76fa2.exe|Heur.ML.PE.C
   
4. 2023-12-02 15:44:58|C:\Users\Precuwa\Desktop\1202\231202-05-AgentTesla-11812f.exe|Heur.ML.PE.C
   
5. 2023-12-02 15:44:59|C:\Users\Precuwa\Desktop\1202\231202-07-Expiro-020732.exe|Heur.ML.PE.A
   
6. 2023-12-02 15:45:26|C:\Windows\System32\svchost.exe|WIBD:StealthPersistence.B5
   
7. 2023-12-02 15:47:17|C:\Windows\Microsoft.NET\Framework\v4.0.30319\MSBuild.exe|MEMRAY:MalCode.A0
   
8. 2023-12-02 15:47:46|C:\Users\Precuwa\Desktop\1202\231202-08-PureLogs-a9fd09.exe|WIBD:WhiteListEvasion.A0
   
9. 2023-12-02 15:47:57|C:\Users\Precuwa\Desktop\1202\231202-06-Creal-e13c5e.exe|WIBD:HEUR.Trojan.V
   
10. 2023-12-02 15:54:38|C:\Windows\System32\svchost.exe|WIBD:StealthPersistence.B5
    
11. 2023-12-02 15:57:59|C:\Windows\Microsoft.NET\Framework\v4.0.30319\MSBuild.exe|MEMRAY:MalCode.A0

复制代码

杰伦Ｊ时代

Hibike 发表于 2023-12-2 16:01
智量 8/9
剩余Quasar。白加黑均在注入MSBuild后被内存检测（顺带还有拦截持久化操作）

6的，半年没有更新了吧？现在既然还是一如既往的强啊！！！666

Hibike

杰伦Ｊ时代 发表于 2023-12-2 16:25
6的，半年没有更新了吧？现在既然还是一如既往的强啊！！！666

我用的安装包只有一年半之前的特征/模型。

Eset小粉絲

秋日之殇 发表于 2023-12-2 11:09
两个执行都可以拦截，一个触发pdm，一个触发网页防护。不过本体不杀。
事件: 已阻止
应用程序: WinGup  ...

I detected the dlls:
Trojan.Win64.Loader.lh
Trojan.Win64.Loader.li

Best regards, Ilya, Malware Analyst, Kaspersky

aboringman

另外两个均无反应，失败。

swizzer

ApexOne
7/9， 白加黑全部miss



最近dual-load技术拆钩的样本有点多啊，莫非相关的工具套件已经在暗网有售了（

heheda2001

Hibike 发表于 2023-12-2 16:26
我用的安装包只有一年半之前的特征/模型。

@华为安全官方 要是能把智量的技术买过来就好啦

biue

smz2011

智量当个过期的药丸吃还是有效果的