做会计的朋友误点的邮件中的税务抽查病毒...

显示全部楼层 · 发表于 2024-10-28 17:45:20

Loyisa 发表于 2024-10-28 17:35
Avast触发CyberCapture 然而什么都没检测出来
继续双击触发FileRep 干掉之后还有一堆行为

看来下载器不报毒，后面全是狠货。

显示全部楼层 · 发表于 2024-10-28 17:46:40

truetime 发表于 2024-10-28 17:45
看来下载器不报毒，后面全是狠货。

是的一堆白加黑还好没做持久化(或者持久化被avast拦下来了)

显示全部楼层 · 发表于 2024-10-28 17:58:16

微步判定恶意
https://s.threatbook.com/report/ ... 233393bad9ecdaf21af

显示全部楼层 · 发表于 2024-10-28 18:02:45

本帖最后由 Fadouse 于 2024-10-28 18:43 编辑

S1 + DI
实体双击 S1 回滚
进程流程图

Mitre ATT&CK Techniques

显示全部楼层 · 发表于 2024-10-28 18:08:20

会安装2个远控，一个固信的，一个阳途的，中毒后用安全卫士查杀即可。应该都支持查杀了。

显示全部楼层 · 发表于 2024-10-28 18:27:17

eis

Suspicious Object

显示全部楼层 · 发表于 2024-10-28 18:27:52

咖啡双击杀衍生物

显示全部楼层 · 发表于 2024-10-28 18:31:54

运行提示跟火绒冲突，要求退出火绒才能继续

显示全部楼层 · 发表于 2024-10-28 19:21:30

360

显示全部楼层 · 发表于 2024-10-28 19:32:02

本帖最后由 inhh1 于 2024-10-28 22:08 编辑

实机BD EDR结果：
这玩意到底挂了多少东西啊，，，
两个合法远程滥用
还有一个cpuz的驱动
bd刷了七八个事件出来还有几秒钟弹窗一次ids，，，
固信的核心组件全部隔离了，但是还是有残留不断触发ids
报到pobus的那个程序上，和楼上的结果差不多
措施有一条缓解报到SW1.16-install客户端.exe
还算说得过去
更新：测试后2小时，BD已拉黑Payload地址

[病毒样本] 做会计的朋友误点的邮件中的税务抽查病毒...

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源