白加黑 1x

显示全部楼层 · 发表于 2024-4-17 14:04:53

PYAS_Security 发表于 2024-4-17 13:46
PYAS 本地

exe是白的

显示全部楼层 · 发表于 2024-4-17 14:11:13

火绒
扫描&运行：MISS

显示全部楼层 · 发表于 2024-4-17 15:28:04

DisaPDB 发表于 2024-4-17 14:04
exe是白的

最近白利用非常疯狂，各种利用，还有白利用链串的。

显示全部楼层 · 发表于 2024-4-17 15:45:12

本帖最后由 chx818 于 2024-4-17 17:58 编辑

去了那个网站下载，被诺顿拦住了

关闭诺顿防护，实机运行样本包里面的东西，elastic行为杀报Windows.Trojan.Gh0st

显示全部楼层 · 发表于 2024-4-17 16:16:08

chx818 发表于 2024-4-17 15:45
去了那个网站下载，被诺顿拦住了

关闭诺顿防护，实机运行样本包里面的东西，elastic行为杀和本地机学杀W ...

机学能报出Gh0st？

显示全部楼层 · 发表于 2024-4-17 16:28:17

本帖最后由隔山打空气于 2024-4-17 16:32 编辑

DisaPDB 发表于 2024-4-17 16:16
机学能报出Gh0st？

ES这边不能，这是ES的内存扫描匹配到的Yara规则

显示全部楼层 · 发表于 2024-4-17 16:32:01

chx818 发表于 2024-4-17 15:45
去了那个网站下载，被诺顿拦住了

关闭诺顿防护，实机运行样本包里面的东西，elastic行为杀和本地机学杀W ...

ES能报出名字的是YARA 机学没有家族名的

显示全部楼层 · 发表于 2024-4-17 16:36:35

chx818 发表于 2024-4-17 15:45
去了那个网站下载，被诺顿拦住了

关闭诺顿防护，实机运行样本包里面的东西，elastic行为杀和本地机学杀W ...

你ES的Rollback开了没（

这持久化行为都出来了，要是只有kill process就坏事了（

显示全部楼层 · 发表于 2024-4-17 17:56:16

本帖最后由 chx818 于 2024-4-17 17:58 编辑

隔山打空气发表于 2024-4-17 16:36
你ES的Rollback开了没（

这持久化行为都出来了，要是只有kill process就坏事了（

当时没开。。。现在已经开起来了，但诺顿不知道为什么在这些时候没反应，至于持久行为大概率是我不小心运行了两次（

显示全部楼层 · 发表于 2024-4-17 17:56:44

神龟Turmi 发表于 2024-4-17 16:32
ES能报出名字的是YARA 机学没有家族名的

emmmm好吧我弄错了

[病毒样本] 白加黑 1x