FakeAPP 11X

显示全部楼层 · 发表于 2023-12-9 22:17:52

aboringman 发表于 2023-12-9 21:54
Fly这个，我截图里面标记的东西是没有外联的，就算是桌面的快捷方式进去也是原本应该启动的程序，除此之 ...

youdao那个可能是运行环境问题，跑了下，能跑出有效行为

经典opendir http://38.60.251.73:26314

感觉这系列样本可以凑个报告了（

显示全部楼层 · 发表于 2023-12-9 22:23:40

本帖最后由 hsks 于 2023-12-9 22:36 编辑

UNknownOoo 发表于 2023-12-9 22:16
外联IP是154.39.249.152，
可能的侧加载：https://wwjw.lanzouq.com/iTvwR1hbsc4j

威胁情报未知，但确实很可疑
https://x.threatbook.com/v5/domain/uulai4.xyz

似乎找到了个同源的https://www.virustotal.com/gui/f ... 8bbc124cd/detection

反查了一下，大概率是远控

@UNknownOoo

显示全部楼层 · 发表于 2023-12-9 22:26:11

hsks 发表于 2023-12-9 22:17
youdao那个可能是运行环境问题，跑了下，能跑出有效行为

经典opendir http://38.60.251.73:26314

显示全部楼层 · 发表于 2023-12-9 22:27:10

aboringman 发表于 2023-12-9 22:26

显示全部楼层 · 发表于 2023-12-9 22:40:36

@aboringman

要不直接把netfist从msi中提取出来，然后再测

显示全部楼层 · 发表于 2023-12-9 22:46:03

实体机全部运行以后第一次全盘查杀 11 第二次2 主打的就是双击之后处理这样才有意思

显示全部楼层 · 发表于 2023-12-9 22:56:10

显示全部楼层 · 发表于 2023-12-10 08:39:37

显示全部楼层 · 发表于 2023-12-10 09:21:02

小Akill9个

显示全部楼层 · 发表于 2023-12-13 14:33:09

金山毒霸kill 6x

[病毒样本] FakeAPP 11X