CobaltStrike 1x

显示全部楼层 · 发表于 2024-4-18 09:49:15

本帖最后由 DisaPDB 于 2024-4-18 10:00 编辑

UNknownOoo 发表于 2024-4-18 08:14
第一反应捉的图标特征（？

不像
360杀图标会直接报Trojan.FakePDF.A
而且扫描不杀，自动机也没传

草了，今早测试那种诡异的双击报法不见了，但是杀了注入

显示全部楼层 · 发表于 2024-4-18 10:17:47

本帖最后由 00006666 于 2024-4-18 10:39 编辑

DisaPDB 发表于 2024-4-18 09:49
不像
360杀图标会直接报Trojan.FakePDF.A
而且扫描不杀，自动机也没传

360有一些特殊规则来留坑，就是故意给黑产作者认为免杀成功的坑，但是实际投递受害机子上面运行，会莫名其妙干掉样本，因为360自己也知道，不留一些坑，黑产作者上线木马都会先拿360测试，防护做得再好也不可能拦得住这种针对性免杀。

比如急救箱就会这样做，安全卫士应该也会
https://bbs.kafan.cn/forum.php?mod=redirect&goto=findpost&ptid=2232802&pid=50812406

显示全部楼层 · 发表于 2024-4-18 10:57:16

00006666 发表于 2024-4-18 10:17
360有一些特殊规则来留坑，就是故意给黑产作者认为免杀成功的坑，但是实际投递受害机子上面运行，会莫名 ...

其实我觉得是云抽风的概率更大（

显示全部楼层 · 发表于 2024-4-18 11:03:52

本帖最后由 00006666 于 2024-4-18 11:13 编辑

DisaPDB 发表于 2024-4-18 10:57
其实我觉得是云抽风的概率更大（

以前有发现一些类似的规则:
https://bbs.kafan.cn/thread-2236454-1-1.html

不过银狐木马那种双击报毒肯定不是文件名报毒，前几天看到那种仅双击报毒后，我就试过，改成随机名也一样报，目前还不知道它是把银狐家族文件哪个特征给拉规则了。

显示全部楼层 · 发表于 2024-4-18 11:56:09

00006666 发表于 2024-4-18 11:03
以前有发现一些类似的规则:
https://bbs.kafan.cn/thread-2236454-1-1.html

wo大说过这种扫描未检出但双击杀Trojan.Generic的是行为检测
https://bbs.kafan.cn/forum.php?m ... 12&pid=53918068
至于是不是所谓“多步”……我觉得不算，因为就算是BD的ATC也不可能做到在一执行就秒杀，更像是某种检测规则

显示全部楼层 · 发表于 2024-4-18 17:58:36

火绒miss

显示全部楼层 · 发表于 2024-4-18 20:59:39

神龟Turmi 发表于 2024-4-18 09:16
你看瑞星的（
Malware.FakePDF/ICON!1.D51A

他这个扩展名也挺行，也能薄纱

[病毒样本] CobaltStrike 1x

本帖子中包含更多资源

评分

评分

本帖子中包含更多资源