利用杀软文件的样本 1X

kaba777

驭龙 发表于 2025-1-5 14:22
这个深信服怎么报银狐了？按照这样本利用avast WSC组件注册安全中心来禁用MD的行为，不应该是银狐啊，银 ...

深信服很多特征命中就是直接报银狐，不管是不是真的银狐

00006666

驭龙 发表于 2025-1-5 14:36
这个行为特征跟之前的银狐也不太一样，除非是C2是银狐的，要不然真看不出来是银狐。

或许是其他团队搞 ...

奇安信团队分析报告就写的很好

https://mp.weixin.qq.com/s/aQmJT3VZWh3QF0OZXT2RoQ

1. 围绕“银狐”木马有专门的产业链，有人贩卖源码，有人做持续免杀卖给下游。

复制代码

驭龙

00006666 发表于 2025-1-6 13:48
奇安信团队分析报告就写的很好

https://mp.weixin.qq.com/s/aQmJT3VZWh3QF0OZXT2RoQ

简单看一下，分析的确实是比较透彻，尤其是“密码” Pxns@cns”来解压all.zip”这密码都挖出来了
而且下面还有一堆C2地址，确实是很牛的文章

tdsskiller

bbszy 发表于 2025-1-5 02:50
u2b上还有利用eset文件的样本
sTBssoyqDdg

早在2020年的时候就有俄罗斯的一个博主说过，vt上登记的杀毒软件可以给你提供无数apt级别的0day，现在杀软变成木马组件也是见怪不怪了

ジ蓅暒划过づ

驭龙 发表于 2025-1-6 14:12
简单看一下，分析的确实是比较透彻，尤其是“密码” Pxns@cns”来解压all.zip”这密码都挖出来了
而且下 ...

这个样本我关注了，每天都在更新，两天用微步分析结果都不一样

驭龙

ジ蓅暒划过づ 发表于 2025-1-6 16:56
这个样本我关注了，每天都在更新，两天用微步分析结果都不一样

所以说，现在的银狐太猛了

00006666

ジ蓅暒划过づ 发表于 2025-1-6 16:56
这个样本我关注了，每天都在更新，两天用微步分析结果都不一样

不一样太正常了，看看前面发的奇安信分析报告，银狐木马它是一类黑市木马，这个木马是插件化模块化的，根据需求定制，有人负责上游开发，有人销售，最后黑产组织用它来入侵，不是同一个组织用的银狐，它肯定不一样。

yaokai815

360 瑞星 卡巴均1x