样本 3X #银狐木马

显示全部楼层 · 发表于 2024-7-29 09:02:00

本帖最后由 scottxzt 于 2024-7-29 09:14 编辑

直接添加到MD的排除项，自行添加到计划l任务，干废杀软目前MD已报

显示全部楼层 · 发表于 2024-7-29 10:28:08

keen-qv 发表于 2024-7-29 08:38
可以理解，昨天是周末，毒霸云鉴定没上班

云鉴定跑的是自动机和上不上班有什么关系

显示全部楼层 · 发表于 2024-7-29 10:55:21

嘿嘿不能说发表于 2024-7-28 16:09
他会加驱干掉杀软，Avast被废了，进程看起来都在，但是托盘跟防护都已经被干掉了（

XLS_Setup-5.exe.e ...

会生成一个开机计划任务，和开机加载一个TrueSight.的白利用驱动，会干杀软，导致安全卫士起不来，可以用急救箱扫描处理即可。

显示全部楼层 · 发表于 2024-7-29 11:19:58

DisaPDB 发表于 2024-7-29 10:28
云鉴定跑的是自动机和上不上班有什么关系

disa同学认真了，这是一个段子

显示全部楼层 · 发表于 2024-7-29 11:45:21

QVM360 发表于 2024-7-29 00:12
anyrun上没看到加驱行为啊

看33楼

显示全部楼层 · 发表于 2024-7-29 12:09:04

显示全部楼层 · 发表于 2024-7-29 18:15:07

好东西，感谢分享

显示全部楼层 · 发表于 2024-7-29 19:22:40

DisaPDB 发表于 2024-7-28 23:44
看了一下那个调用天堂门的样本，64位通过寄存器压栈的行为非常明显
retf前有push 0x33（33h）类似的指令， ...

最近挺忙的....（指某比赛）不太有空（

显示全部楼层 · 发表于 2024-7-29 20:27:13

一天时间网盘就过期了。。。

显示全部楼层 · 发表于 2024-7-29 22:36:28

本帖最后由 DisaPDB 于 2024-7-29 22:57 编辑

UNknownOoo 发表于 2024-7-29 19:22
最近挺忙的....（指某比赛）不太有空（

能问问是啥比赛不

[病毒样本] 样本 3X #银狐木马