UNhook NTDLL！

显示全部楼层 · 发表于 2024-2-19 17:44:37

本帖最后由 384也7492374 于 2024-2-19 17:45 编辑

检测指定的 ntdll 导出函数是否被 Hook。如果发现 Hook，则尝试解除 Hook。解密 payload。在一个指定的进程中分配内存。将 payload 写入到分配的内存中。在指定的进程中创建一个新的线程，并执行 payload payload是弹窗。华为乾坤miss
https://wormhole.app/32Ylp#IlMN-SrTDTbZwlmuyScEEw

显示全部楼层 · 发表于 2024-2-19 17:57:45

本帖最后由 t0kenzero 于 2024-2-19 23:43 编辑

蹲着测个S1看看
SentinelOne Cloud
行为倒是撞到了 re-map a core DLL of the OS

显示全部楼层 · 发表于 2024-2-19 18:04:11

类型:木马-HEUR/QVM202.0.73C3.Malware.Gen
描述:木马是一种伪装成正常文件的恶意软件，会盗取您的帐号、密码等隐私资料。
扫描引擎:云特征引擎
文件路径:D:\360安全浏览器下载\ConsoleApplication2\ConsoleApplication2.exe
文件大小:17.5K (17,920 字节)
文件指纹（MD5）:26f018eb46e1950961c651e43ef840d5
处理建议:隔离文件

显示全部楼层 · 发表于 2024-2-19 19:26:26

本帖最后由不知起什么名于 2024-2-19 19:28 编辑

火绒 1x
VT

显示全部楼层 · 发表于 2024-2-19 20:00:18

fsp 静态1x

TR/Agent.8d045d

复制代码

显示全部楼层 · 发表于 2024-2-19 20:00:25

卡巴kill

事件: 检测到恶意对象
用户类型: 发起者
应用程序名称: explorer.exe
应用程序路径: C:\Windows
组件: 文件反病毒
结果说明: 检测到
类型: 木马
名称: HEUR:Trojan.Win32.Generic
精确度: 不确切
威胁级别: 高
对象类型: 文件
对象名称: ConsoleApplication2.exe
对象路径: C:\Users\Desktop\ConsoleApplication2
对象的 MD5: 26F018EB46E1950961C651E43EF840D5
原因: 专家分析
数据库发布日期: 今天，2024/2/19 下午12:59:00

显示全部楼层 · 发表于 2024-2-19 20:01:02

不知起什么名发表于 2024-2-19 19:26
火绒 1x
VT

这个特征是捉的计算器shellcode没记错的话（

显示全部楼层 · 发表于 2024-2-19 20:05:11

AhnLab V3 Internet Security V9.0 miss

显示全部楼层 · 发表于 2024-2-19 20:08:50

UNknownOoo 发表于 2024-2-19 20:01
这个特征是捉的计算器shellcode没记错的话（

漏洞吗

显示全部楼层 · 发表于 2024-2-19 21:31:57

本帖最后由 UNknownOoo 于 2024-2-19 21:46 编辑

WV
运行：MISS

火绒
运行：MISS

Dr.Web
运行：拦截

冰盾
运行：MISS

[病毒样本] UNhook NTDLL！

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源