今天公司邮件收到一个病毒文件，帮忙分析下。

显示全部楼层 · 发表于 2024-6-5 12:03:20

解压后只有一个快捷链接

显示全部楼层 · 发表于 2024-6-5 12:12:31

sunjushi 发表于 2024-6-5 12:01
哦哦，明白了。那其实不点击那些脚本，直接删除后，其实是没什么影响的吧。

是的...（按照正常的钓鱼样本的话...外面那个lnk在打开pdf的同时运行__MACOSX下的脚本，但这里似乎只是单纯的打开pdf

显示全部楼层 · 发表于 2024-6-5 12:27:58

Anmoe 发表于 2024-6-5 11:25
BD 卡巴扫描运行均miss
Opentip Clean
Triage 7/10

opentip似乎没有触发动态分析，ksn记录也没有

显示全部楼层 · 发表于 2024-6-5 12:49:37

wuming_bpnes 发表于 2024-6-5 11:11
Sophos 双击杀

Sophos机学分析表示可疑，但总结论为可能白文件

Disrupt 高度敏感万物杀报法
你这测样本测太多了触发高度敏感了这种模式下基本和非白即黑差不多
测sophos最好测一个样本恢复一次快照再测下一个

显示全部楼层 · 发表于 2024-6-5 15:10:46

神秘鬼发表于 2024-6-5 12:03
解压后只有一个快捷链接

__MACOSX文件夹设置了系统隐藏属性，文件夹选项勾选上显示或attrib去除这些属性即可

显示全部楼层 · 发表于 2024-6-5 16:55:10

awsl10000次发表于 2024-6-5 12:27
opentip似乎没有触发动态分析，ksn记录也没有

Opentip貌似只会对特定格式的文件做动态分析这个包里面的exe单独拉出来跑是没行为的
所以把整个zip传上去试了试发现和单传exe的结果一样

显示全部楼层 · 发表于 2024-6-5 17:03:36

Anmoe 发表于 2024-6-5 16:55
Opentip貌似只会对特定格式的文件做动态分析这个包里面的exe单独拉出来跑是没行为的
所以把整个zip传上 ...

原来如此..跟别的沙箱比，opentip似乎确实有亿点点简陋...

支持文件格式少，而且用了几次后感觉检出率也很一般很一般。自用＋观察样本区看，似乎过了卡巴双击后样本也有很可观的概率过opentip动态分析（但样本数实在太少了着实不清楚opentip真实实力），也不知道卡巴有没有什么后手（）

显示全部楼层 · 发表于 2024-6-5 17:10:53

本帖最后由 Anmoe 于 2024-6-5 17:25 编辑

awsl10000次发表于 2024-6-5 17:03
原来如此..跟别的沙箱比，opentip似乎确实有亿点点简陋...支持文件格式少，而且用了几次后感觉检出 ...

直接运行bat文件的话是可以触发反网络攻击检测的
但是OpenTip上的样本引爆不知道是个什么逻辑触发不了

显示全部楼层 · 发表于 2024-6-5 17:27:33

显示全部楼层 · 发表于 2024-6-5 18:22:40

江民0

[病毒样本] 今天公司邮件收到一个病毒文件，帮忙分析下。