CobaltStrike 1x

显示全部楼层 · 发表于 2024-3-19 14:40:24

DisaPDB 发表于 2024-3-19 14:00
抓的是是流量特征吗
难搞的还是Beacon的通讯特征和反射后的内存

通讯

显示全部楼层 · 发表于 2024-3-19 14:47:09

江民

显示全部楼层 · 发表于 2024-3-19 14:58:35

384也7492374 发表于 2024-3-19 13:20
S1 执行杀，还是特征没擦好，原因是已知渗透框架

跑样本的时候发现sleepmask的特征也没抹去来着（）

显示全部楼层 · 发表于 2024-3-19 14:59:42

本帖最后由 t0kenzero 于 2024-3-19 15:05 编辑

MD

DI

HPMA

显示全部楼层 · 发表于 2024-3-19 17:33:45

本帖最后由 DisaPDB 于 2024-3-19 17:49 编辑

UNknownOoo 发表于 2024-3-19 14:58
跑样本的时候发现sleepmask的特征也没抹去来着（）

没必要吧
能用 SleepEx 的线程来定位内存中Beacon的估计整个调用链都能抓到，抹这个没意义

显示全部楼层 · 发表于 2024-3-19 20:04:10

河众扫描挂

显示全部楼层 · 发表于 2024-3-19 20:39:25

WD:Trojan:Win64/Malgent!MSR

显示全部楼层 · 发表于 2024-3-19 21:34:49

DisaPDB 发表于 2024-3-19 17:33
没必要吧
能用 SleepEx 的线程来定位内存中Beacon的估计整个调用链都能抓到，抹这个没意义

并不是，只是简单的yara规则匹配

显示全部楼层 · 发表于 2024-3-19 21:40:03

Fadouse 发表于 2024-3-19 12:16
Kapsersky Premium + ESSP Scan & Execute Miss???

下午1点多的库双击后PDM报毒还命中了内存特征
难道是因为你用了沙盘的缘故吗

显示全部楼层 · 发表于 2024-3-19 21:46:46

本帖最后由 Fadouse 于 2024-3-19 21:47 编辑

anxiety520 发表于 2024-3-19 21:40
下午1点多的库双击后PDM报毒还命中了内存特征
难道是因为你用了沙盘的缘故吗

应该是在未入库前测试的，具体时间忘了

[病毒样本] CobaltStrike 1x