银狐最新变种x1------>VT 0/65

superLYT

下载链接被拦截

T心里隐着D

淘淘巷 发表于 2025-6-13 11:20
这是咋做到的

我也纳闷呢，双击运行一会儿会内存报毒。不过已经上报了，等着卡巴分析

BBQ_Le

superLYT 发表于 2025-6-13 11:22
下载链接被拦截

1

wwwab

淘淘巷 发表于 2025-6-13 11:20
这是咋做到的

白加黑，黑dll的加载位置在子文件夹里面
⁨250506xx⁩ ▸ ⁨m$RECYCLE.BIN⁩ ▸ ⁨data⁩⁩ ▸ ⁨VistaFileDialog.dll

T心里隐着D

上报卡巴了，卡巴却认为安全
我们已完成检测。后台得出的结果如下:
附件文件没有检测到可疑病毒文件，请知悉

wwwab

T心里隐着D 发表于 2025-6-13 11:44
上报卡巴了，卡巴却认为安全
我们已完成检测。后台得出的结果如下:
附件文件没有检测到可疑病毒文 ...

完整上报整个压缩包，然后你跟他说：
There is a dllhijack: 250506xx⁩ ▸ ⁨m$RECYCLE.BIN⁩ ▸ ⁨data⁩⁩ ▸ ⁨VistaFileDialog.dll

T心里隐着D

wwwab 发表于 2025-6-13 11:45
完整上报整个压缩包，然后你跟他说：
There is a dllhijack: 250506xx⁩ ▸ ⁨m$RECYCLE ...

好的

啊松

淘淘巷 发表于 2025-6-13 11:20
这是咋做到的

有隐藏文件啊，双击压缩包就能看到

wwwab

样本的 .NET发布者配置文件(https://learn.microsoft.com/zh-c ... configuration-files) 被劫持了：

因此加载了 m$RECYCLE.BIN⁩ ▸ ⁨data⁩⁩ ▸ ⁨VistaFileDialog.dll

参考：
https://blog.csdn.net/ahhacker86/article/details/145049454
https://zhuanlan.zhihu.com/p/27458749
https://crackme.net/articles/appDomainManager_exploit/
https://mp.weixin.qq.com/s/dHZdal6A-SX2vMWZNu6sQQ
https://github.com/Mr-Un1k0d3r/.NetConfigLoader

啊松

T心里隐着D 发表于 2025-6-13 11:23
我也纳闷呢，双击运行一会儿会内存报毒。不过已经上报了，等着卡巴分析

有隐藏文件，别单独上报白exe