#Glupteba #Signed #Rootkit?

显示全部楼层 · 发表于 2023-12-4 16:22:45

先上VT(23/72)疑似RootKit？行为倒是不少（

Manipulates WinMon driver. Manipulates WinMonFS driver.
Rootkits write to WinMonFS to hide directories/files from being detected.

复制代码

甚至还修改启动配置

Modifies boot configuration data using bcdedit

复制代码

样本：
https://cloud.rhinelab.io/s/x9T4

显示全部楼层 · 发表于 2023-12-4 16:24:55

显示全部楼层 · 发表于 2023-12-4 16:27:13

显示全部楼层 · 发表于 2023-12-4 16:33:37

类型:木马-Win32/Backdoor.Remcos.HgIATO8A
描述:木马是一种伪装成正常文件的恶意软件，会盗取您的帐号、密码等隐私资料。
扫描引擎:云安全引擎
文件路径:C:\Users\licha\Downloads\Ta8mJ5sm_20231204-84a987ea\f5be7905ff4e3fcff8697d08de785719c1eeac0d5ac5b8373917de764cc0cac1.exe
文件大小:2.49M (2,614,136 字节)
文件版本:0.0.0.2
文件描述:FC_UI
文件指纹（MD5）:a474e3060a9f404479c442e38aad6268
数字签名:installrax inc
数字签名是否有效:无效
处理建议:隔离文件

显示全部楼层 · 发表于 2023-12-4 16:35:47

EIS kill

显示全部楼层 · 发表于 2023-12-4 16:42:41

本帖最后由 UNknownOoo 于 2023-12-4 22:00 编辑

火绒
扫描：MISS

X-Sec
扫描：云黑 1X

---------------------
2023/12/04 16:41:45 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\f5be7905ff4e3fcff8697d08de785719c1eeac0d5ac5b8373917de764cc0cac1.exe -- [rame-cloud] Backdoor.Remcos!8.B89E

复制代码

华为乾坤
扫描：MISS

显示全部楼层 · 发表于 2023-12-4 16:48:01

显示全部楼层 · 发表于 2023-12-4 16:52:19

GDHJDSYDH 发表于 2023-12-4 16:35
EIS kill

为什么vt扫描不杀

显示全部楼层 · 发表于 2023-12-4 17:10:12

显示全部楼层 · 发表于 2023-12-4 17:16:00

安天
f5be7905ff4e3fcff8697d08de785719c1eeac0d5ac5b8373917de764cc0cac1.exe
类型：Trojan[Backdoor]/MSIL.Remcos(NULL@NULL)
文件 MD5：A474E3060A9F404479C442E38AAD6268

[病毒样本] #Glupteba #Signed #Rootkit?

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源