朋友被盗号后发来的可疑文件

显示全部楼层 · 发表于 2024-11-1 22:11:04

ongarabazanade 发表于 2024-11-1 20:46

360卫士下载未提是，扫面火绒和卫士都没有报

显示全部楼层 · 发表于 2024-11-1 22:17:51

原美食小孩发表于 2024-11-1 22:11
360卫士下载未提是，扫面火绒和卫士都没有报

显示全部楼层 · 发表于 2024-11-1 23:19:44

腾讯电脑管家 1X

显示全部楼层 · 发表于 2024-11-2 00:21:30

天守Kill

显示全部楼层 · 发表于 2024-11-2 01:27:56

这个样本行为运行就加载驱动，挂钩子读取键盘，和载图，联网向远程计算机发送数据，明显的盗号

显示全部楼层 · 发表于 2024-11-2 02:49:35

本帖最后由 chx818 于 2024-11-2 03:54 编辑

wd运行没反应，扫描会报毒

换到Elastic Security，静态好像不杀（我吧把文件复制进去没反应），运行之后没有反应也没有停止，文件不会被删掉，但从任务管理器可以观察到defend占用突然上升说明确实在干活，回来控制台一看发现出来一堆日志

看了下就是没有这个主文件，推测是这个文件释放了down.exe，然后从这里开始后续动作都是这文件干的了，同时ES会杀后续所有动作
试了下Elastic需要接入LLM AI的AttackDiscover功能，我的评价是看个乐呵

更新一下，之前没通知是因为agent版本不对，换成最新的8.15.3之后有通知了，另外就是主文件也被扫到有问题了

这个时候再去attackdiscover分析，Claude3.5模型就会乱回复了，gpt4o给到的就聊胜于无了

又去翻了下官方文档，试了下官方推荐的Claude3模型，感觉这回有点像模像样了

显示全部楼层 · 发表于 2024-11-2 07:20:23

HMPA运行miss

显示全部楼层 · 发表于 2024-11-2 08:26:34

本帖最后由 1094947421 于 2024-11-2 08:27 编辑

昨天中午的病毒库

显示全部楼层 · 发表于 2024-11-2 14:03:21

360 TS Miss

显示全部楼层 · 发表于 2024-11-3 11:58:52

https://bbs.kafan.cn/thread-2275041-1-1.html

[可疑文件] 朋友被盗号后发来的可疑文件

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源