【两个哈希】VT首传3杀，看着文件名有一点像银狐，没有进一步分析

显示全部楼层 · 发表于 8 小时前

Komeiji-Reimu 发表于 2024-12-21 15:15
这类样本会判断public内的桌面文件夹是否有微信或钉钉类似的快捷方式，有才会执行下一步，有一定的反沙箱能 ...

是的，这类东西会检测环境来自保，所以很多自动分析的环境都跑不出行为

显示全部楼层 · 发表于 8 小时前

XAS扫描日志
扫描开始时间:2024/12/21 15:20:39
主程序版本:3.0.6 病毒库版本:1787(2024.12.21)
特征库个数：17477
黑md5个数：2333904
白md5个数：150521
危险文件:
---------
D:/用户文件/2/桌面/软件包安装程序_1.0.1\软件包安装程序_1.0.1.exe[特征引擎][Win32/Trojan.Generic.7AeA3801]
D:/用户文件/2/桌面/软件包安装程序_1.0.1\软件包安装程序_1.0.5\软件包安装程序_1.0.5.exe[特征引擎][Win32/Trojan.Generic.7AeA3801]
总文件数:2
病毒文件个数:2
查杀率:100.0%
扫描结束时间:2024/12/21 15:20:40

复制代码

显示全部楼层 · 发表于 8 小时前

曾经的MSI银狐换成EXE了

显示全部楼层 · 发表于 7 小时前

本帖最后由 DisaPDB 于 2024-12-21 16:16 编辑

Komeiji-Reimu 发表于 2024-12-21 15:15
这类样本会判断public内的桌面文件夹是否有微信或钉钉类似的快捷方式，有才会执行下一步，有一定的反沙箱能 ...

反沙箱方式不是这个，我随便找个win7环境都能跑起来
看了一下有REnumServicesStatusExW调用，应该有进程判定

显示全部楼层 · 发表于 7 小时前

WSCS miss

显示全部楼层 · 发表于 7 小时前

ES

显示全部楼层 · 发表于 7 小时前

Dr.web被干掉了

显示全部楼层 · 发表于 7 小时前

显示全部楼层 · 发表于 7 小时前

@Luna_ovo我已经上报了

显示全部楼层 · 发表于 6 小时前

[病毒样本] 【两个哈希】VT首传3杀，看着文件名有一点像银狐，没有进一步分析