伪装成DeepSeek的样本

显示全部楼层 · 发表于 2025-2-15 10:36:58

病毒传播的网站是jdwr.nswl.site
根据界面来看，很像是一个P.U.A软件（下载器），但下载后是一个压缩包，里面有一个msi文件，非常可疑样本https://pan.huang1111.cn/s/Xq7KoTl 密码infected
VT VirusTotal - File - 22fc86a308f828735514c42ef00ca9938fac9e1aa6aafc415f89d55dfc847db9 7/62

微步云沙箱的木马家族归类为Agent

但没有联网行为？（这和其描述的Installer明显不同）VT匹配到了一个YARA规则（如图）
这次还收集到一个广告软件，看到域名也没什么大惊小怪的

显示全部楼层 · 发表于 2025-2-15 10:46:47

这个特征应该是银狐？

显示全部楼层 · 发表于 2025-2-15 10:49:11

御坂14857号发表于 2025-2-15 10:46
这个特征应该是银狐？

看着比较像银狐，不知道为什么没在沙箱里跑出联网

显示全部楼层 · 发表于 2025-2-15 10:59:13

银狐

显示全部楼层 · 发表于 2025-2-15 10:59:33

cortex 双击杀

显示全部楼层 · 发表于 2025-2-15 11:03:13

银狐

显示全部楼层 · 发表于 2025-2-15 11:22:17

本帖最后由神龟Turmi 于 2025-2-15 11:23 编辑

郭俊民发表于 2025-2-15 10:49
看着比较像银狐，不知道为什么没在沙箱里跑出联网

银狐有反沙箱以及检测是否安装QQ微信基本不需要考虑沙箱跑行为不太可能跑的出来的
目前能跑出最多行为的Joe's Sandbox也就只能跑到释放BYOVD为止了后续winos远控的行为是跑不到的

另外 ESET报FCM 火绒报Starter.ee 这俩同时出现基本就可以直接打成银狐了这俩是一两个月以来对银狐最稳定的特征

显示全部楼层 · 发表于 2025-2-15 11:24:24

火绒

显示全部楼层 · 发表于 2025-2-15 11:42:24

显示全部楼层 · 发表于 2025-2-15 11:47:41

啊松发表于 2025-2-15 11:42

看来KSN拉黑了，我发之前还没有杀

[病毒样本] 伪装成DeepSeek的样本

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源