CT脚本 1x

显示全部楼层 · 发表于 2024-12-30 11:08:56

奇安信
Trojan.Win32.Agent.d1d

显示全部楼层 · 发表于 2024-12-30 11:23:28

真小读者发表于 2024-12-30 10:57
好家伙，有胆量

哈哈没有敏感信息的外网电脑。

显示全部楼层 · 发表于 2024-12-30 14:17:01

裂空我爱杰发表于 2024-12-30 10:22
SEP被成功干掉。。

讲个笑话，我是在单位电脑弄的。。。SEP本来有密码管理，这下好了。。但是没有其他行 ...

被加载驱动了，大概

显示全部楼层 · 发表于 2024-12-30 14:19:36

桔梗想见雪发表于 2024-12-30 14:17
被加载驱动了，大概

火绒的论坛自定义规则拦截了，

但是病毒先把sep干掉了就很搞笑。

显示全部楼层 · 发表于 2024-12-30 15:17:55

这个样本含金量这么高啊
卡巴的脚本启发还可以

显示全部楼层 · 发表于 2024-12-30 15:25:10

pal家族发表于 2024-12-30 15:17
这个样本含金量这么高啊
卡巴的脚本启发还可以

释放了一个Rootkit乱杀一众杀毒软件

显示全部楼层 · 发表于 2024-12-30 15:26:38

trojan payload

显示全部楼层 · 发表于 2024-12-30 15:36:57

本帖最后由 202125 于 2024-12-30 15:38 编辑

202125 发表于 2024-12-30 15:26
trojan payload

related event

显示全部楼层 · 发表于 2024-12-30 15:50:58

这玩意居然还反虚拟机。。。

这种时候还是HIPS比较稳。

脚本先释放随机名文件，然后再引导执行注册表位置添加启动项，然后重启。

AUTORUNS找这种很容易。

显示全部楼层 · 发表于 2024-12-30 16:02:08

本帖最后由 Raven95676 于 2024-12-30 16:05 编辑

逆出来了
好多decodeFunction
https://wwlm.lanzouu.com/iTnuK2jf31ef

[病毒样本] CT脚本 1x