龟包 231218 11X

显示全部楼层 · 发表于 2023-12-18 13:47:37

SEP自动防护+手动扫描kill 10个，剩下一个steamcode的沙盘双击运行后自行退出，可能存在沙盘检测

显示全部楼层 · 发表于 2023-12-18 14:10:44

GDHJDSYDH 发表于 2023-12-18 12:44
这个ps1脚本启动时在检测到360后会欺骗用户关闭360

这个脚本本身不具备威胁性……唯一有点问题的操作就是删除在$steamPath路径下的hid.dll，以及在本地路径下的"appdata.vdf并从云端下发配置对本地目录里的进行替换……不过我挺想知道的是这俩下发的是什么东西……难道有其他程序辅助进行恶意操作吗……

显示全部楼层 · 发表于 2023-12-18 14:16:53

小红伞剩余一个

显示全部楼层 · 发表于 2023-12-18 14:48:38

本帖最后由 GDHJDSYDH 于 2023-12-18 14:50 编辑

DisaPDB 发表于 2023-12-18 14:10
这个脚本本身不具备威胁性……唯一有点问题的操作就是删除在$steamPath路径下的hid.dll，以及在本地路径 ...

不清楚，不过病毒吧吧主上报给了卡巴后，卡巴鉴定师将其认定为Loader和Downloader.PowerShell，而且我在SBIE沙箱里运行时沙箱弹出了与WMI服务有关的东西

显示全部楼层 · 发表于 2023-12-18 15:08:54

GDHJDSYDH 发表于 2023-12-18 14:48
不清楚，不过病毒吧吧主上报给了卡巴后，卡巴鉴定师将其认定为Loader和Downloader.PowerShell，而且我在S ...

WMI可能是用于提权的（？）这个脚本普通用户权限下可能执行不了，downloader是肯定的，毕竟有配置下发……我觉得光看脚本内容的话应该不能判断是不是有害的……龟大说得对（）

显示全部楼层 · 发表于 2023-12-18 15:49:09

malwarebytes 10x

显示全部楼层 · 发表于 2023-12-18 17:39:34

本帖最后由 Hibike 于 2023-12-18 18:01 编辑

智量扫描+双击：

显示全部楼层 · 发表于 2023-12-18 19:46:05

显示全部楼层 · 发表于 2023-12-19 02:49:00

SteamCode总算能杀了

显示全部楼层 · 发表于 2023-12-19 09:25:47

GDHJDSYDH 发表于 2023-12-19 02:49
SteamCode总算能杀了

也只有这俩入库了
VT现在3/60

[病毒样本] 龟包 231218 11X