可疑样本，利用应用控制策略阻止杀毒软件启动

显示全部楼层 · 发表于 2025-1-7 01:31:06

本帖最后由落华无痕于 2025-1-7 01:38 编辑

样本（infected）：https://free.lanzoue.com/ivm8Z2k65dah
SiPolicy.p7b复制到C:\Windows\System32\CodeIntegrity这里，重启可以复现

显示全部楼层 · 发表于 2025-1-7 01:40:57

MD零容忍模式

显示全部楼层 · 发表于 2025-1-7 06:45:27

应该拦不住火绒6.0吧，火绒6.0全新安装在"Program Files"下，火绒5.0才安装在"Program Files (x86)"下

（覆盖安装升级除外

显示全部楼层 · 发表于 2025-1-7 07:25:01

火绒扫描miss

显示全部楼层 · 发表于 2025-1-7 08:32:16

KES

Event: Malicious object detected
Application: srxcuivxs.exe
User: LAPTOP\fadou
User type: Initiator
Component: Behavior Detection
Result description: Detected
Type: Trojan
Name: PDM:Trojan.Win32.Generic
Threat level: High
Object type: Process
Object path: E:\Code\Virus\O1eHY\app-3.11.3\app-3.11.3\app-3.11.3
Object name: srxcuivxs.exe
Reason: Behavior analysis
Databases release date: Yesterday, 1/6/2025 3:17:00 PM
SHA256: 5B3CAE4609B8ACC6E4D4520431ED39263CCF79D6874BEC8A1BADC4442130C2F5
MD5: 24C573F8384B86EFA2F5A8E016694715

显示全部楼层 · 发表于 2025-1-7 09:19:20

迈克菲扫描 miss

显示全部楼层 · 发表于 2025-1-7 09:55:25

本帖最后由 lsop1349987 于 2025-1-7 10:12 编辑

双击
avast寄
McAfee双击miss，重启还在

显示全部楼层 · 发表于 2025-1-7 10:02:11

本帖最后由 wowocock 于 2025-1-7 10:05 编辑

嗯，这种应该只在WIN10以后有效，应该要增加拦截和查杀处理了

，类似的EXE早就出现了，来自于GITHUB上的开源，StubExecutable系列，会加载同目录APP-目录下的同名文件，可无限嵌套。360这边已经早都去白了。

显示全部楼层 · 发表于 2025-1-7 11:20:40

BD 双击kill

Bitdefender detected potentially malicious behavior and blocked all applications involved.
Detection ID: SuspiciousBehavior.F64030747339548D

显示全部楼层 · 发表于 2025-1-7 13:53:11

wowocock 发表于 2025-1-7 10:02
嗯，这种应该只在WIN10以后有效，应该要增加拦截和查杀处理了，类似的EXE早就出现了，来自于GITHUB ...

还有些用UAC的，有被利用的可能性

https://github.com/the1812/Malware-Patch

[病毒样本] 可疑样本，利用应用控制策略阻止杀毒软件启动

本帖子中包含更多资源

本帖子中包含更多资源

评分