银狐木马 3X

显示全部楼层 · 发表于 2024-8-19 23:25:32

00006666 发表于 2024-8-19 23:12
它下载payload的那个地址好像失效了，本来这jpg里面应该是shellcode等，银狐母体一般只是木马下载器

...

我是用IDA看的（

显示全部楼层 · 发表于 2024-8-19 23:33:31

本帖最后由 00006666 于 2024-8-19 23:39 编辑

不知起什么名发表于 2024-8-19 23:25
我是用IDA看的（

不对，它应该payload还是可以下载，不知道是不是还有别的触发条件，银狐一般就是这种单个文件传播的，不太可能有配合的dll，这个样本我看它直到连接远程地址下载payload都是正常的，后面就会自退

显示全部楼层 · 发表于 2024-8-19 23:44:20

00006666 发表于 2024-8-19 23:33
不对，它应该payload还是可以下载，不知道是不是还有别的触发条件，银狐一般就是这种单个文件传播的，不 ...

下完加载就没了 Downloader代码是这么写的

显示全部楼层 · 发表于 2024-8-19 23:49:14

本帖最后由 00006666 于 2024-8-19 23:51 编辑

不知起什么名发表于 2024-8-19 23:44
下完加载就没了 Downloader代码是这么写的

有没有可能是黑产团伙写错代码，一般如果是分离加载等手段，没有DLL是根本跑出不来联网上线行为，它这又能让跑出来联网下载，还连接已知银狐IOC网址，后面就报错

显示全部楼层 · 发表于 2024-8-19 23:50:33

00006666 发表于 2024-8-19 23:49
有没有可能是黑产团伙写错代码，一般如果是分离加载等手段，没有DLL是根本跑出不来联网上线行为，它这又 ...

我记得代码是这么写的现在在外面不方便看我个人倒是觉得是一个test样本

显示全部楼层 · 发表于 2024-8-20 08:55:43

银狐木马

显示全部楼层 · 发表于 2024-8-21 16:15:46

瑞星 3x

[病毒样本] 银狐木马 3X