Windows目录下可疑文件

显示全部楼层 · 发表于 2024-9-6 22:00:21

本帖最后由 PercyDan 于 2024-9-7 20:36 编辑

发现在C:\Windows\$phantom-onimai3下的可疑文件
原文件只有$phantom-Loli.cmd
phantom-Loli_extract.ps1是我尝试提取有效代码进行分析的

分析样本：https://app.any.run/tasks/48076e06-f337-499f-97de-47c2f4951bdf
https://s.threatbook.com/report/file/80247a0cebe936916f70a6977f373966214eb62430555c2e45f1ff0afc7a9972
https://s.threatbook.com/report/file/cacfec4fb3266a21c8bbe3067a64f2d671cdba288af99b59deafc5d9ca2db3b5
病毒样本

显示全部楼层 · 发表于 2024-9-6 22:02:44

ESSP
R:\TestBox\$phantom-onimai3\$phantom-Loli.cmd;BAT/Agent.QKD 特洛伊木马;已通过删除清除

显示全部楼层 · 发表于 2024-9-6 22:02:47

火绒扫描miss

显示全部楼层 · 发表于 2024-9-6 22:13:06

本帖最后由 453125415 于 2024-9-6 22:19 编辑

火绒6扫描高启发kill 1X
ps：火绒的高启发误杀好高。。。

显示全部楼层 · 发表于 2024-9-6 22:15:22

453125415 发表于 2024-9-6 22:13
火绒6扫描高启发kill 1X

为什么我把文件夹解压到桌面，文件夹消失了

请问kill的是哪个？如果只能kill那个ps1那么实战还是拦截不了（

显示全部楼层 · 发表于 2024-9-6 22:16:53

PercyDan 发表于 2024-9-6 22:15
请问kill的是哪个？如果只能kill那个ps1那么实战还是拦截不了（

cmd

显示全部楼层 · 发表于 2024-9-6 22:19:09

显示全部楼层 · 发表于 2024-9-6 22:21:19

显示全部楼层 · 发表于 2024-9-6 22:29:59

McAfe 双击cmd
Trojan:Win/Xwormrat.EAD

显示全部楼层 · 发表于 2024-9-6 22:33:30

本帖最后由 aboringman 于 2024-9-6 22:47 编辑

执行cmd

2024-09-06 22:44:35 [已阻止] DCOMCallback 防护 1 次
详细描述：
进程：C:\Windows\System32\wbem\WmiPrvSE.exe
动作：DCOM调用
路径：
风险文件：C:\Windows\System32\wbem\WmiPrvSE.exe
拦截补充描述：为了您的上网安全，如果您不认识此程序，请阻止此操作。
防护信息: AD|83, 10016|-1, 60, -1||
2024-09-06 22:44:26 [自动阻止] 修改系统启动目录防护 10 次
详细描述：
进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
动作：试图修改
路径：C:\Users\Killer\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\$phantom-SC.cmd
不再提醒(0x66db154a)
防护信息: FD|26, 823|30, -1, -1|||
2024-09-06 22:44:25 [自动阻止] 修改系统启动目录防护 4 次
详细描述：
进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
动作：试图修改
路径：C:\Users\Killer\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\$phantom-SC.cmd
不再提醒(0x66db1549)
防护信息: FD|26, 823|30, -1, -1|||
2024-09-06 22:44:25 [已阻止] 修改系统启动目录防护 1 次
详细描述：
进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
动作：试图修改
路径：C:\Users\Killer\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\$phantom-SC.cmd
防护信息: FD|26, 823|30, 10, -1|||

复制代码

[可疑文件] Windows目录下可疑文件