Asyncrat 1X

显示全部楼层 · 发表于 2024-7-13 23:21:38

hsks 发表于 2024-7-13 23:17
可以去看triage的结果https://tria.ge/240713-q3gg3avfqa/behavioral3

怎么看他认为是asyncrat是命中了哪条规则

显示全部楼层 · 发表于 2024-7-13 23:23:08

QVM360 发表于 2024-7-13 23:21
怎么看他认为是asyncrat是命中了哪条规则

triage主要靠内存检测，先拉这个，然后从底下的download一栏找到对应的dmp文件

显示全部楼层 · 发表于 2024-7-13 23:25:19

QVM360 发表于 2024-7-13 23:21
怎么看他认为是asyncrat是命中了哪条规则

显示全部楼层 · 发表于 2024-7-13 23:25:57

显示全部楼层 · 发表于 2024-7-13 23:26:53

hsks 发表于 2024-7-13 23:25
@QVM360 内存文件VT结果
https://www.virustotal.com/gui/file/2bb3ded55d60405efc419a84d4051dea73e75d75 ...

估计anyrun上没跑出来

显示全部楼层 · 发表于 2024-7-13 23:27:53

奇安信沙箱要登录账号才能看详情，比其他国产沙箱好一点的是，免费版本就能在分析的时候支持通过沙箱桌面来手动操作

显示全部楼层 · 发表于 2024-7-13 23:28:22

00006666 发表于 2024-7-13 23:27
奇安信沙箱要登录账号才能看详情，比其他国产沙箱好一点的是，免费版本就能在分析的时候支持通过沙箱桌面来 ...

那不就是我最爱的anyrun吗

显示全部楼层 · 发表于 2024-7-13 23:31:34

QVM360 发表于 2024-7-13 23:28
那不就是我最爱的anyrun吗

而且它如果沙箱跑不出来的，甚至还能从分析结果界面申请人工分析

显示全部楼层 · 发表于 2024-7-13 23:33:13

hsks 发表于 2024-7-13 23:25
@QVM360 内存文件VT结果
https://www.virustotal.com/gui/file/2bb3ded55d60405efc419a84d4051dea73e75d75 ...

https://app.any.run/tasks/1827087c-834a-42e9-a567-029a04ccd64d

跑出来了！！！刚刚是时间不够，在powershell的内存dmp文件那里检测到了

显示全部楼层 · 发表于 2024-7-13 23:41:08

QVM360 发表于 2024-7-13 23:28
那不就是我最爱的anyrun吗

奇安信这边，它其实是有两套沙箱平台，情报沙箱和天穹沙箱，情报沙箱是公开免费的，天穹沙箱我以前记得是要企业账号才能用

情报沙箱: https://ti.qianxin.com https://sandbox.ti.qianxin.com

天穹沙箱:https://sandbox.qianxin.com/

[病毒样本] Asyncrat 1X