【开放测试】卡饭病毒样本包 20240916 第162期

QVM360

警告：

       本主题帖中所包含的任何文件和附件都有危害你的计算机的可能，并且没有安全软件可以100%防护这些样本。样本仅供测试、交流和学习，禁止用于任何非法用途。
       请在虚拟机中测试样本。对于下载样本、附件以及点击链接所导致的任何数据泄露、破坏，以及所产生的任何损失，本人和卡饭论坛不负任何责任。

样本下载：

7x (2024-09-16).zip - 蓝奏云 (lanzoue.com)
https://homeserver.iepose.cn/dow ... FF817EB3C9BED91.zip
sha256: 13B29264A410F6D5C479F4BC9E19E04169CE30C73EF17BFC2E483D233852C013

压缩包密码：infected




如果样本中包含.ps1文件(Powershell脚本)，则需要手动打开cmd.exe输入以下指令允许运行ps1脚本:

Powershell.exe Set-ExecutionPolicy Bypass

奖励/惩罚规则：
正式测试期间的奖励规则：
1、参加完整扫描测试并提供未检测的样本的文件名，+5经验
2、上传相关截图（不再需要提供扫描日志），+5经验。
3、上传双击结果（必须带图或日志），+10~30经验。
4、测试多款安全软件的，奖励累加。
5、每期样本包会在正式测试期间评选最佳测试贴，只评选1贴，加80经验。
      被评选次数达到5次可PM我领取1魅力奖励。长期测试样本，也有魅力奖励。
惩罚规则：
1、占楼后2小时内未能给出测试结果的，视为灌水，按照论坛规定处理
2、其他违规行为，按照论坛相关规定处理。

注意：扫描/双击日志请以附件形式（压缩包）或图片上传，也可以 以1号字体放在回复中。         
          对于日志过长以至于影响会员刷帖/回帖体验的回复，管理人员有权进行屏蔽处理。

当前测试阶段：开放测试

----------------------------------------------------
往期测试样本包下载（可能不全）：
https://mc163.lanzoue.com/b0edaxo1g
密码:GkNO64bFD5bf

OrangeCell

a.py需要特定运行环境才可以运行,这里通过pyinstaller打包为exe文件了: https://pan.huang1111.cn/s/byjkMHY(密码infected)

QVM360

dght432 发表于 2024-9-17 11:02
这个exe白文件吗？上报卡巴后加白了

确实是，少了黑dll...我的锅

心醉咖啡

火绒

1. 病毒库时间：2024-09-15 17:07
   
2. 开始时间：2024-09-16 18:14
   
3. 总计用时：00:00:01
   
4. 扫描对象：154
   
5. 扫描文件：7
   
6. 发现风险：4
   
7. 已处理风险：4
   
8. 病毒详情：
   
9. 风险路径：E:\浏览器下载\7x (2024-09-16)\1\1top.bat, 病毒名：ADV:TrojanDownloader/PS.NetLoader!meteor, 病毒ID：3d2d322b63eb89fd, 处理结果：已处理，删除文件
   
10. 风险路径：E:\浏览器下载\7x (2024-09-16)\1\02 DEMANDA LABORAL.zip >> 01 DEMANDA.exe, 病毒名：ADV:TrojanDownloader/Generic!meteor, 病毒ID：a540286dfdaab915, 处理结果：已处理，删除文件
    
11. 风险路径：E:\浏览器下载\7x (2024-09-16)\1\XTUS.exe, 病毒名：ADV:VirTool/Obfuscator!meteor, 病毒ID：b6b4d4a297409986, 处理结果：已处理，删除文件
    
12. 风险路径：E:\浏览器下载\7x (2024-09-16)\1\02 DEMANDA LABORAL.zip >> DBKFR.dll, 病毒名：HEUR:TrojanDownloader/Rugmi.e, 病毒ID：ca1c7b23bc4d4386, 处理结果：已处理，删除文件
    

复制代码

761773275

SOPHOS 靜態3x  執行2x  總共5x



02 DEMANDA LABORAL （這個是白加黑偷竊者，護士檢測到c2鏈接觸發內存掃描，匹配到asyncrt內存特徵）桌面生成了一個TXT

1. 你是一个伟大的住宿在一个伟大的材料!!
   
2. 你电脑上的所有数据都已经通过服务器发送给我们了
   
3. 在一小时内，带有您数据的卸载存档将被放置在公共访问中
   
4. 关闭这个表单并删除我们的应用程序不会有帮助。
   
5. 您可以通过Telegram - @FudziHelperBot联系我们

复制代码

1. 在 C:\Windows\Microsoft.NET\Framework\v4.0.30319\MSBuild.exe 检测到 C2_5a (T1055.012 mem/asyncrt-a)

复制代码

1top.BAT  (機學檢測Droppe)

1. 在 C:\dhA7pRFwIByZRRnk\explorer 检测到 Generic ML PUA

复制代码

QVM360

心醉咖啡 发表于 2024-9-16 18:14
火绒

没记错的话01 DEMANDA.exe好像是白文件

btbtg

ESET扫描结果：4/7

剩余：3/7

日志：

腾讯管家扫描结果：3/7

剩余：4/7

日志：


360扫描结果：2/7

剩余：5/7

日志：

yyds_x

卡巴斯基：
3X






zip文件解压后扫描MISS







质量好高

呼啸山庄

Avira Pro （默认设置）

scan 3x


run miss all (除1.bat外均无反应自退（有一个Sentry里貌似还有点动作），盲猜虚拟机检测（我懒得传在线沙箱了）)


1.bat



扔个翻译：


Log

xmt12

360 3x

xmt12

自制 5x（压缩包手动解压）
Miss：py、bat