CobaltStrike 1x

DisaPDB

VT(6/71)
CobaltStrike_Sleep_Decoder_Indicator

1. 类型：
   
2. Win64/HackTool.CobaltStrike.HgEATW0A
   
3. 描述：
   
4. 一种会影响系统安全性或稳定性的风险工具，通常包括网络扫描工具、渗透工具、破解工具、挂程序、算号器等。
   
5. 扫描引擎：
   
6. 360云查杀引擎
   
7. 文件路径：
   
8. C:\Users\Administrator\Desktop\yPGk6h1.exe
   
9. 文件指纹(MD5)：
   
10. ff8b9b21ba8ecb9691cb24e6411170a1

复制代码

喀反

eset:
时间;扫描程序;对象类型;对象;检测;操作;用户;信息;哈希;此处首次所见
2024/4/9 8:46:39;文件系统实时防护;文件;E:\Edge_down\Test\yPGk6h1.exe;Suspicious Object;已通过删除清除;DESKTOP-2TVVNMU\Roger;在通过应用程序创建的新文件上发生了事件: D:\Bandizip\Bandizip.exe (B3953181F83BE51347D6D214560084F22333027D).;B49A1078CA58A29C58BDF03AD2A64F3B5D6E1107;2024/4/9 8:46:36

莒县小哥

应用程序名称: WinRAR.exe
应用程序路径: C:\Program Files\WinRAR
组件: 文件反病毒
结果说明: 检测到
类型: 木马
名称: HEUR:Trojan.Win32.CobaltStrike.gen
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: yPGk6h1.exe
对象路径: C:\Users\Myluj\Downloads
对象的 MD5: FF8B9B21BA8ECB9691CB24E6411170A1
原因: 专家分析
数据库发布日期: 今天，2024/4/9 上午5:55:00

火绒5.0漏报

DisaPDB

keen-qv 发表于 2024-4-9 09:32
火绒漏报

不至于，撞了一堆yar的，内存防护应该不会漏

DisaPDB 发表于 2024-4-9 09:42
不至于，撞了一堆yar的，内存防护应该不会漏

不好意思兄嘚，忘记备注了，我用的火绒5.0测的，听说6.0问题有点多，而且有卡慢的问题，因此回退了版本，刚刚重新编辑了帖子

GreatMOLA

BD 云杀

UNknownOoo

DisaPDB 发表于 2024-4-9 09:42
不至于，撞了一堆yar的，内存防护应该不会漏

火绒
手动内存扫描 2x

1. 病毒详情：
   
2. 风险路径：mem://3216-0xb773f4a0-0x27321410000-C:\Users\Serendipity\Desktop\yPGk6h1.exe, 病毒名：Backdoor/CobaltStrike.ag, 病毒ID：9f0df421404120b0, 处理结果：处理成功，进程已结束
   
3. 风险路径：mem://3216-0xb773f4a0-0x27321460000-C:\Users\Serendipity\Desktop\yPGk6h1.exe, 病毒名：Backdoor/CobaltStrike.ag, 病毒ID：9f0df421404120b0, 处理结果：处理失败，进程结束失败

复制代码

384也7492374

UNknownOoo 发表于 2024-4-9 12:22
火绒
手动内存扫描 2x

处理失败，进程结束失败

UNknownOoo

384也7492374 发表于 2024-4-9 14:12
处理失败，进程结束失败

它里面两个内存块都命中特征了...然后就终止了同一个进程两次（

*奇怪的逻辑