样本测试 11X

GreatMOLA

Deep Instinct 静态+执行Jnz.exe，msi未执行。

hansyu

McAfee 扫描6x 双击2x

微信

hansyu 发表于 2023-12-19 22:26
McAfee 扫描6x 双击2x

还是113吗

hansyu

微信 发表于 2023-12-19 22:27
还是113吗

EN-US还是，不知道ZH-CN怎样，还没试，我这里ZH-CN版推送比EN版快。

嘿嘿不能说

Sectigo



财务人必看！2024年起！最新减税降费政策75条..exe：貌似跑不起来？

相关资料.msi：








总防御成功：10

未知：1

KIS：9

1. 今天，2023/12/20 9:35:07        C:\Users\Killer\Desktop\infected2023121901\Downloads\竞争性教育正在毁掉孩子.msi        已创建备份副本        对象的备份副本已创建        HEUR:Trojan-Dropper.Win32.Agent.gen                文件        C:\Users\Killer\Desktop\infected2023121901\Downloads        竞争性教育正在毁掉孩子.msi        已创建备份副本        木马        高        启发式分析               
   
2. 今天，2023/12/20 9:34:57        C:\Users\Killer\Desktop\infected2023121901\Downloads\深圳湾实验室信息安全自查工具.exe        已创建备份副本        对象的备份副本已创建        Trojan.Win32.CobaltStrike.ezw                文件        C:\Users\Killer\Desktop\infected2023121901\Downloads        深圳湾实验室信息安全自查工具.exe        已创建备份副本        木马        高        确切               
   
3. 今天，2023/12/20 9:34:57        C:\Users\Killer\Desktop\infected2023121901\Downloads\企业境外项目佣金中介费专项整治工作台账.exe        已创建备份副本        对象的备份副本已创建        HEUR:Trojan-Downloader.Win32.Cobalt.gen                文件        C:\Users\Killer\Desktop\infected2023121901\Downloads        企业境外项目佣金中介费专项整治工作台账.exe        已创建备份副本        木马        高        启发式分析               
   
4. 今天，2023/12/20 9:34:55        C:\Users\Killer\Desktop\infected2023121901\Downloads\查询入口.exe        已创建备份副本        对象的备份副本已创建        HEUR:Backdoor.Win32.Androm.gen                文件        C:\Users\Killer\Desktop\infected2023121901\Downloads        查询入口.exe        已创建备份副本        木马        高        启发式分析               
   
5. 今天，2023/12/20 9:34:55        C:\Users\Killer\Desktop\infected2023121901\Downloads\相关资料.msi        已创建备份副本        对象的备份副本已创建        HEUR:Trojan.OLE2.Alien.gen                文件        C:\Users\Killer\Desktop\infected2023121901\Downloads        相关资料.msi        已创建备份副本        木马        高        启发式分析               
   
6. 今天，2023/12/20 9:34:54        C:\Users\Killer\Desktop\infected2023121901\Downloads\12月税稽抽企业名单（电脑版）.msi        已创建备份副本        对象的备份副本已创建        HEUR:Trojan.Win32.Agentb.gen                文件        C:\Users\Killer\Desktop\infected2023121901\Downloads        12月税稽抽企业名单（电脑版）.msi        已创建备份副本        木马        高        启发式分析               
   
7. 今天，2023/12/20 9:34:54        C:\Users\Killer\Desktop\infected2023121901\Downloads\cf08892393e4d134635311361d6556da68137db54e3900a50cf55114796c0499.exe        已创建备份副本        对象的备份副本已创建        HEUR:Backdoor.Win32.Androm.gen                文件        C:\Users\Killer\Desktop\infected2023121901\Downloads        cf08892393e4d134635311361d6556da68137db54e3900a50cf55114796c0499.exe        已创建备份副本        木马        高        启发式分析               
   
8. 今天，2023/12/20 9:34:54        C:\Users\Killer\Desktop\infected2023121901\Downloads\Attached Picture And Details Of Our Specification Order _PDF.exe        已创建备份副本        对象的备份副本已创建        HEUR:Trojan.MSIL.Taskun.gen                文件        C:\Users\Killer\Desktop\infected2023121901\Downloads        Attached Picture And Details Of Our Specification Order _PDF.exe        已创建备份副本        木马        高        启发式分析               
   
9. 今天，2023/12/20 9:34:53        C:\Users\Killer\Desktop\infected2023121901\Downloads\Tender #20231220.scr        已创建备份副本        对象的备份副本已创建        HEUR:Trojan-Downloader.MSIL.Seraph.gen                文件        C:\Users\Killer\Desktop\infected2023121901\Downloads        Tender #20231220.scr        已创建备份副本        木马        高        启发式分析

复制代码

Sectigo：双击白程序，KIS无拦截，手动快速扫描后内存中发现威胁并清除，进程被终止

1. 今天，2023/12/20 9:38:38        System Memory        未处理        无法清除        MEM:Trojan.Win64.Shellcode.gen        已记录        文件                System Memory        未处理        木马        高        确切       
   
2. 今天，2023/12/20 9:38:38        System Memory        未处理        无法清除        MEM:Trojan.Win64.Shellcode.gen        无法清除        文件                System Memory        未处理        木马        高        确切       
   
3. 今天，2023/12/20 9:38:37        System Memory        未处理        无法清除        MEM:Trojan.Win32.SEPEH.gen        已记录        文件                System Memory        未处理        木马        高        确切       
   
4. 今天，2023/12/20 9:38:37        System Memory        未处理        无法清除        MEM:Trojan.Win32.SEPEH.gen        无法清除        文件                System Memory        未处理        木马        高        确切       
   
5. 今天，2023/12/20 9:38:26        System Memory        检测到        检测到恶意对象        MEM:Trojan.Multi.Shellcode.gen        专家分析        文件                System Memory        检测到        木马        高        确切

复制代码

心痛的伤不起

嘿嘿不能说 发表于 2023-12-19 22:50
Sectigo

财政那个能跑起来的

wwwab

嘿嘿不能说 发表于 2023-12-19 22:50
Sectigo

财务人必看！2024年起！最新减税降费政策75条..exe

这个样本需要机器有D盘才会出现trojan-downloader行为，下载的东西就是包里面Sectigo文件夹里面的白加黑。只会下载到D:\Sectigo目录下，如果机器没有D盘就不会出现行为直接报错退出

嘿嘿不能说

wwwab 发表于 2023-12-19 23:12
财务人必看！2024年起！最新减税降费政策75条..exe

这个样本需要机器有D盘才会出现trojan-downloader ...

OK，我看到的就是报错退出，所以定成了未知

Windows Problem Reporting（

biue

GDHJDSYDH

EIS扫描剩余3x，KFA扫描剩余的miss，沙箱内双击运行KFA kill 1x，EIS内存杀1x，最后1x miss