样本 3X #银狐木马

显示全部楼层 · 发表于 2024-7-28 17:17:23

761773275 发表于 2024-7-28 17:06
給我把文件回復回去，讓他執行

说不定黑客就打开微信了，银狐经常这样玩

显示全部楼层 · 发表于 2024-7-28 17:19:59

自制 kill all

显示全部楼层 · 发表于 2024-7-28 19:38:21

金山毒霸

显示全部楼层 · 发表于 2024-7-28 23:44:56

本帖最后由 DisaPDB 于 2024-7-29 12:32 编辑

看了一下那个调用天堂门的样本，64位通过寄存器压栈的行为非常明显
retf前有push 0x33（33h）类似的指令，int 0x2e直接进0环

顺便说一句，这货给AmsiScanbuffer挂了个钩来Patch，可喜可贺。

@UNknownOoo 可以帮忙ida看一下syscall的调用流程吗，我静态没看出来……

显示全部楼层 · 发表于 2024-7-28 23:50:26

00006666 发表于 2024-7-28 17:17
说不定黑客就打开微信了，银狐经常这样玩

不错，等下周四我双击这样本，微信转他50红包吃肯德基

显示全部楼层 · 发表于 2024-7-28 23:51:55

心醉咖啡发表于 2024-7-28 19:38
金山毒霸

二扫依然一个

显示全部楼层 · 发表于 2024-7-29 00:06:56

好像还会将自身加入到windows defender的排除项里

https://app.any.run/tasks/bb569270-6183-4ea9-84a7-f04216040833

显示全部楼层 · 发表于 2024-7-29 00:12:25

00006666 发表于 2024-7-28 16:11
银狐是在野家族木马，跟杀软对抗很久了，之前几个版本的就有很多带驱动的

anyrun上没看到加驱行为啊

显示全部楼层 · 发表于 2024-7-29 07:22:02

keen-qv 发表于 2024-7-28 23:51
二扫依然一个

毒霸的云鉴定不得行啊

显示全部楼层 · 发表于 2024-7-29 08:38:15

心醉咖啡发表于 2024-7-29 07:22
毒霸的云鉴定不得行啊

可以理解，昨天是周末，毒霸云鉴定没上班

[病毒样本] 样本 3X #银狐木马

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分