BlackSuit 高级勒索软件策略曝光：伪装成杀毒软件

显示全部楼层 · 发表于 2024-8-2 11:57:55

wowocock 发表于 2024-8-2 11:08
他肯定有触发模块，你自己IDA一下就知道了，代码段和360原版的一模一样。所以没有触发者，不会触发行为， ...

不可能啊，我刚才用微步都跑出来了

https://s.threatbook.com/report/ ... 1d095f04e3f5b40767c

塞参数-id 00000000000000000000000000000000试试

显示全部楼层 · 发表于 2024-8-2 11:58:43

QVM360 发表于 2024-8-2 02:05
我这双击没跑起来

塞参数-id 00000000000000000000000000000000，能跑的

显示全部楼层 · 发表于 2024-8-2 12:05:38

趋势miss

显示全部楼层 · 发表于 2024-8-2 12:08:51

本帖最后由 DisaPDB 于 2024-8-2 12:16 编辑

wowocock 发表于 2024-8-2 11:08
他肯定有触发模块，你自己IDA一下就知道了，代码段和360原版的一模一样。所以没有触发者，不会触发行为， ...

你看这个微步他又大又圆

其实应该是Patch OEP之后修改到他自己的代码段的，之前见过了

显示全部楼层 · 发表于 2024-8-2 12:12:05

智量双击后拦截运行

显示全部楼层 · 发表于 2024-8-2 12:42:03

360沙箱云：https://ata.360.net/report/592953777735680
奇安信天穹动态分析沙箱：https://sandbox.qianxin.com/tq/r ... 40d3c62&sk=51519252

试了仨沙箱，加参数之后，都能跑出来勒索行为

显示全部楼层 · 发表于 2024-8-2 12:45:20

FD丶纸鸢发表于 2024-8-2 12:05
趋势miss

不会吧我这里用240608云安全定义的趋势都能杀

显示全部楼层 · 发表于 2024-8-2 13:03:47

显示全部楼层 · 发表于 2024-8-2 13:24:35

inhh1 发表于 2024-8-2 12:45
不会吧我这里用240608云安全定义的趋势都能杀

我只扫描没双击（）没虚拟机不敢开

显示全部楼层 · 发表于 2024-8-2 14:14:18

迈克菲 kill

[病毒样本] BlackSuit 高级勒索软件策略曝光：伪装成杀毒软件