恶意木马签署有效签名

显示全部楼层 · 发表于 2024-2-28 21:23:29

anxiety520 发表于 2024-2-28 21:21
DI拦截的是浏览器主程序......一般的浏览器会使用DSC吗?

浏览器跟本不会发起直接系统调用，该杀，Google浏览器只会加载一段shellcode而没有其他行为

显示全部楼层 · 发表于 2024-2-28 21:23:44

本帖最后由隔山打空气于 2024-2-28 21:24 编辑

anxiety520 发表于 2024-2-28 21:21
DI拦截的是浏览器主程序......一般的浏览器会使用DSC吗?

绝大多数正常软件都不应当使用Direct System Calls，这会规避AV/EDR在NTDLL中的R3 HOOK

显示全部楼层 · 发表于 2024-2-28 21:29:32

本帖最后由 anxiety520 于 2024-2-28 21:44 编辑

Status Severity Description
Medium
500 Logon Session Creation via LogonUser WinAPI (MITRE: T1134.003 Access Token Manipulation: Make and Impersonate Token)
Low
290 Enumerating open application windows via API (MITRE: T1010 Application Window Discovery)
Low
290 Enumerating open application windows via API (MITRE: T1010 Application Window Discovery)
Low
290 Enumerating Process Modules via Tool Help Library (MITRE: T1497.001 Virtualization/Sandbox Evasion: System Checks)
Low
290 Using Non-Standard Traffic on HTTP Port (MITRE: T1571 Non-Standard Port)
Low
290 Keylogger Installation (MITRE: T1056.001 Input Capture)
Low
200 Domain Joined Check (MITRE: T1497.001 Virtualization/Sandbox Evasion: System Checks)

复制代码

样本提交再分析了.

显示全部楼层 · 发表于 2024-2-28 21:47:56

anxiety520 发表于 2024-2-28 21:21
DI拦截的是浏览器主程序......一般的浏览器会使用DSC吗?

之所以这么问,是因为尽管样本的签名不受信任 ...

DI控制台都说了DSC是一种绕过安全产品监控的规避技术，而且给出的等级是高危，该不该杀显而易见了

显示全部楼层 · 发表于 2024-2-28 22:34:26

EIS+KFA扫描miss，沙箱内运行miss

显示全部楼层 · 发表于 2024-2-28 22:35:21

显示全部楼层 · 发表于 2024-2-28 23:01:25

360未知

显示全部楼层 · 发表于 2024-2-28 23:17:43

sep 禁止联网换个网址就好了

显示全部楼层 · 发表于 2024-2-28 23:34:52

显示全部楼层 · 发表于 2024-2-29 08:53:22

蜘蛛双击

EMSI miss

[病毒样本] 恶意木马签署有效签名