SilverFox 1x

显示全部楼层 · 发表于 2024-8-20 13:50:10

UNknownOoo 发表于 2024-8-20 13:31
话说之前那个注入explorer的样本有用syscall嘛？

这个样本至少用syscall调了3个函数（具体哪三个不清 ...

上传天穹沙箱分析就知道了，比如目前这个样本的:https://sandbox.qianxin.com/tq/r ... 5778a6b&sk=95404699

分析报告项目的左边+号点开就能看详情

天穹沙箱对于模块覆写、syscall、天堂门等方式都有特殊检测，会直接显示出来，不需要IDA逆向

显示全部楼层 · 发表于 2024-8-20 13:52:07

lovehhsw 发表于 2024-8-20 13:31
卡巴 miss

双击看看

显示全部楼层 · 发表于 2024-8-20 14:06:51

迈克菲 kill

显示全部楼层 · 发表于 2024-8-20 14:12:26

dght432 发表于 2024-8-20 13:52
双击看看

miss了

显示全部楼层 · 发表于 2024-8-20 14:13:02

双击运行就闪退，辣鸡

显示全部楼层 · 发表于 2024-8-20 14:28:10

bd 拉黑c2

显示全部楼层 · 发表于 2024-8-20 14:46:26

江民

显示全部楼层 · 发表于 2024-8-20 17:41:40

00006666 发表于 2024-8-20 13:50
上传天穹沙箱分析就知道了，比如目前这个样本的:https://sandbox.qianxin.com/tq/r ... 5778a6b&sk=95404 ...

找Zw的大概是SysWisper2那一类，Nt函数调用被抓之后转成的间接调用

显示全部楼层 · 发表于 2024-8-20 19:24:02

卡巴ksn拉黑

显示全部楼层 · 发表于 2024-8-20 22:02:39

[病毒样本] SilverFox 1x