#studyoom 2X

显示全部楼层 · 发表于 2024-9-23 19:59:26

本帖最后由 wwwab 于 2024-9-23 20:05 编辑

该家族跟踪代号暂定为studyoom

Downloader:
16cef4fe9060ca7f12afa9c77039859d010a8426a1bc1bb8aa4af3b321dd65a6
https://www.virustotal.com/gui/f ... bb8aa4af3b321dd65a6
昨日VirusTotal检出率：5/73

今日VirusTotal检出率：8/73

该样本拉取studyoom.s3.ap-east-1.amazonaws.com/config.txt，该对象存储目前仍然存活，内容如下图所示：

释放白加黑，如下图所示：

down.lnk快捷方式启动白利用文件down.exe，如下图所示：

steam_api64.dll：
gzip: 498e79188a005b2456e7d4d3e46d74f708eb5707714f8861d61aa2c56e55b26d
解压后: deb32bfbd401504e4af5205a18e26707822f53ac4cf0aba60ae9fc0c1f34c484
https://www.virustotal.com/gui/f ... ba60ae9fc0c1f34c484
其对象存储中的steam_api64.dll实际是一个gzip文件，由于steam_api64.dll被膨胀至上百MB（501.06 MB），因此被打包为gzip的形式下载

昨日VirusTotal检出率：3/69

今日VirusTotal检出率：3/69

我们顺藤摸瓜发现了一些同源样本，如下图所示：

部分同源Downloader Hash:
08c789177c406c96b7407649e02a21c794c4aaf3edf156fec30d3c5c69e78a55
574f47af2d102f076fb67fcf12d67bf240a16470ee056ff40bceb98b24b87115
5e23e5f248889ca7eea67fd69e2a1861e0e8bd0bfb24f71cc743ce5b9887db40
636c5252cc083e653c54544facddf23d94425cc802466e3ab851b379bca2f9ae
c0c00b7972c677a06f73f305514e0e8779228aa8d73bd02bc539dbe6afdff857

部分同源steam_api64.dll Hash:
b22099423add163b45e9121a8dc2d547a1aa5a806776b1872ef434c562be7cfb

(9/70, https://www.virustotal.com/gui/f ... 1872ef434c562be7cfb)
----------
cd04dddbed822f2f184b5989685ef576dd22a13adc7a62a3eb42908ae15d17f9

(6/69, https://www.virustotal.com/gui/f ... 2a3eb42908ae15d17f9)

显示全部楼层 · 发表于 2024-9-23 20:04:41

本帖最后由 Fadouse 于 2024-9-23 20:17 编辑

8月份核实工资.xlxs DI 静态 Kill

Steam_api64(后缀改exe) MDB Kill

显示全部楼层 · 发表于 2024-9-23 20:07:08

EIS 解压

显示全部楼层 · 发表于 2024-9-23 20:10:02

@hsks 收集的垃圾也有这类的样本

显示全部楼层 · 发表于 2024-9-23 20:10:47

本帖最后由 inhh1 于 2024-9-23 21:11 编辑

BD一直对这个系列miss，刚刚上报了
更新：ATD能杀记错了
高级威胁防护已开始对恶意进程执行清除操作。进程路径: C:\Users\uuu\7b4524f5-e168-4dd3-ac97-c171392688c3\down.exe. 威胁名称: ATC.SuspiciousBehavior.1727F36E5E9D0137.
高级威胁防护已开始对恶意进程执行清除操作。进程路径: C:\Users\uuu\Desktop\xlsx\8月份核实工资.exe. 威胁名称: ATC.SuspiciousBehavior.1727F36E0BAF7BFC.
高级威胁防护已阻止注入恶意代码的进程。进程路径: C:\Users\uuu\7b4524f5-e168-4dd3-ac97-c171392688c3\down.exe. 威胁名称: Generic.Shellcode.Donut.Marte.!s!.D.D2F0D017.

显示全部楼层 · 发表于 2024-9-23 20:20:04

本帖最后由 Raven95676 于 2024-9-23 20:43 编辑

卡巴启发杀了exe

steam_api64.dll扫描miss
解压了以后扫描一样miss

显示全部楼层 · 发表于 2024-9-23 20:30:36

毒霸kill 火绒miss

显示全部楼层 · 发表于 2024-9-23 20:43:30

ESET 2x

显示全部楼层 · 发表于 2024-9-23 21:23:22

Avira 监控1x

显示全部楼层 · 发表于 2024-9-23 21:28:20

360

[病毒样本] #studyoom 2X

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源