#MSI SliverFox 1x （附分析）

显示全部楼层 · 发表于 2024-10-26 21:17:14

本帖最后由 biue 于 2024-10-28 23:10 编辑

腾讯电脑管家 1X

显示全部楼层 · 发表于 2024-10-26 21:25:31

江民miss

显示全部楼层 · 发表于 2024-10-26 21:31:12

McAfee 双击kill

显示全部楼层 · 发表于 2024-10-26 21:51:15

XSafe动态狙杀

显示全部楼层 · 发表于 2024-10-26 21:55:27

似乎……在之前hsks提供的FakeApp包中见过类似的？银狐和FakeApp已经联合了么……

显示全部楼层 · 发表于 2024-10-26 22:21:32

ANY.LNK 发表于 2024-10-26 21:55
似乎……在之前hsks提供的FakeApp包中见过类似的？银狐和FakeApp已经联合了么……

倒不如说其实是同一批人，只不过面向的对象不同
抛开FakeAPP过度膨胀的体积不谈，其实有效载荷都是差不多的。从一开始的白加黑+公用目录投放
到现在通过恶意SEO推广来攻击，FakeAPP和银狐有太多太多相似之处

显示全部楼层 · 发表于 2024-10-26 22:32:38

DisaPDB 发表于 2024-10-26 22:21
倒不如说其实是同一批人，只不过面向的对象不同
抛开FakeAPP过度膨胀的体积不谈，其实有效载荷都是差不 ...

嗯，是这样

不过这种MSI里打包随机名的7z和随机名加密载荷的手法，确实曾经完全一致的出现在过一些FakeApp里

显示全部楼层 · 发表于 2024-10-26 22:39:29

ANY.LNK 发表于 2024-10-26 22:32
嗯，是这样

不过这种MSI里打包随机名的7z和随机名加密载荷的手法，确实曾经完全一致的出现在过一些Fak ...

是的。
不过这个样本我打SliverFox的tag的原因其实是微步已经标记了通信网址

显示全部楼层 · 发表于 2024-10-26 22:47:31

DI Kill 衍生

显示全部楼层 · 发表于 2024-10-26 23:23:03

本帖最后由 123fourf 于 2024-10-26 23:35 编辑

FSp杀衍生

MD 零信任 + upsight/ + manageengine
双击miss

[病毒样本] #MSI SliverFox 1x （附分析）