疑似钓鱼网站，同事国产杀毒软件全部miss，已经上报

pal家族

pal家族 发表于 2024-6-5 14:12
我用opentip再上报下

Hello,

This file is already detected. Please update your bases.
not-a-virus:Server-Web.Win32.NetBox.gq
Kaspersky Lab applications classify the specified objects as legitimate software and do not identify them as malicious. The notifications displayed to the user are informative and correct.

Best regards, Maxim, Senior Malware analyst, Kaspersky Lab

UNknownOoo

这个样本有点难绷...（指填回车增大index.asp体积来绕过某些杀毒软件的特征）



关键衍生物：https://wwt.lanzouq.com/ir8Xq20x80cb（qd.jpg其实是一段py脚本..）



火绒
运行：内存防护

1. 防护项目：系统任务目录
   
2. 目标文件：C:\Windows\System32\Tasks\AHK
   
3. 操作结果：已允许
   
4. 进程ID：1500
   
5. 操作进程：C:\Windows\System32\svchost.exe
   
6. 操作进程命令行：C:\Windows\system32\svchost.exe -k netsvcs -p -s Schedule
   
7. 父进程ID：820
   
8. 父进程：C:\Windows\System32\services.exe
   
9. 父进程命令行：C:\Windows\system32\services.exe
   

复制代码

1. 病毒名称：TrojanSpy/Stealer.ja
   
2. 病毒ID：6B2270B0D9F9E66A
   
3. 虚拟地址：0x0000000003730000
   
4. 映像大小：136KB
   
5. 是否完整映像：否
   
6. 数据流哈希：a0dc850f
   
7. 操作结果：已处理
   
8. 进程ID：9192
   
9. 操作进程：C:\Users\Public\Music\python\pythonw.exe
   
10. 操作进程命令行：C:\Users\Public\Music\python\pythonw.exe  C:\Users\Public\Music\python\qd.jpg
    
11. 父进程ID：4692
    
12. 父进程：C:\Windows\System32\cmd.exe
    
13. 父进程命令行：C:\Windows\system32\cmd.exe /c start C:\Users\Public\Music\python\pythonw.exe C:\Users\Public\Music\python\qd.jpg&del C:\Users\Public\Music\python\py.zip

复制代码

wowocock

这种计划任务用360扫描查杀即可。

biue

Chyxs

类似的网站还有     www.shuiwuaa1[.]cn

tmj320

pal家族 发表于 2024-6-5 14:12
我用opentip再上报下

辛苦大佬

123456aaaafsdeg

江民0

inhh1

上海反诈拉黑域名

anthonyqian

ESET

Win32/Server-Web.NetBox.A

wuming_bpnes

Sophos miss