[病毒样本] 2X

显示全部楼层 · 发表于 2024-8-20 23:02:50

00006666 发表于 2024-8-20 22:58
from 360bbs

https://bbs.360.cn/thread-16138544-1-1.html

这样本5月份就出现在VT上了，看上面，算是冷饭了（
我记得我7月末的时候就关联到这个样本了，只不过当时我下不下来（

显示全部楼层 · 发表于 2024-8-20 23:05:21

hsks 发表于 2024-8-20 23:02
这样本5月份就出现在VT上了，看上面，算是冷饭了（

1_S2589676568_查看.exe这个样本，深信服都报了Trojan.Win32.Silverfox.ulgyzg

确实是银狐

那个链接首页下载的是8.14出来的样本，感觉还是比较新的

显示全部楼层 · 发表于 2024-8-20 23:06:29

00006666 发表于 2024-8-20 23:05
1_S2589676568_查看.exe这个样本，深信服都报了Trojan.Win32.Silverfox.ulgyzg

确实是银狐

那估计是银狐出新招了（

显示全部楼层 · 发表于 2024-8-20 23:12:20

本帖最后由 00006666 于 2024-8-20 23:16 编辑

hsks 发表于 2024-8-20 23:06
那估计是银狐出新招了（

银狐是分好几个黑产团伙，各自的样本都有些不一样

参考h3c安全团队报告所述

https://www.freebuf.com/articles/network/405790.html

复制代码

显示全部楼层 · 发表于 2024-8-20 23:15:00

不过样本区出现频率比较高的那种命名为setup*****.exe的银狐，应该是单独一个黑产团伙做出来的，行为都非常接近，都是木马下载器，用各种云服务存储payload

显示全部楼层 · 发表于 2024-8-20 23:16:27

本帖最后由 hsks 于 2024-8-20 23:18 编辑

00006666 发表于 2024-8-20 23:12
银狐是分好几个黑产团伙，各自的样本都有些不一样

参考h3c团队报告所述

主要是这个样本它里面确实是固信安全的相关利用（不是白加黑），所以我不敢确定是不是银狐（
深信服的报法有点意外，我还以为报Trojan.Win32.Gooxion（

显示全部楼层 · 发表于 2024-8-20 23:18:18

hsks 发表于 2024-8-20 23:16
主要是这个样本它里面确实是固信安全的相关利用，所以我不敢确定是不是银狐（
深信服的报法有点意外，我 ...

深信服报银狐一般非常准，查杀率很高

显示全部楼层 · 发表于 2024-8-20 23:22:15

判断是不是银狐，有两种方式，可以上传微步看有没有已知的威胁情报，比如setup*****.exe这类银狐的payload下载地址，经常在微步上面就已经被标记了，然后也可以参考VT上面深信服的报毒结果。

显示全部楼层 · 发表于 2024-8-21 09:13:15

腾讯电脑管家 2X

显示全部楼层 · 发表于 2024-8-21 09:30:50

迈克菲清空