对抗沙箱和虚拟机有效数字签名的fake app vt：3/62

lsop1349987

a233 发表于 2025-8-24 21:07
WD Miss
但奇怪的是并没有发现有二楼的加自启行为

应该是误报

西风萧雨

卡巴文件信誉  ：信任

xjwtzq

GDATA 拦截，不过看不懂

superLYT

虚拟机双击后，BDTS没拦截

ANY.LNK

依据3楼。而且是之前@wwwab 分享过的那个家族的样本
签名衍生物



有一个config.dat和此前分享的哈希一致，另一个结构同源，确认为银狐

C2为43.199.147.152端口443

飞翔的蒲公英

Wormhole怎么下载不了了，这也没过24小时啊

ulyanov2233

飞翔的蒲公英 发表于 2025-8-25 09:36
Wormhole怎么下载不了了，这也没过24小时啊

补一个https://wormhole.app/vbzRJJ#fAF8gGzwym0-iTHGqCrPqQ

飞翔的蒲公英

安天引擎未报毒，信誉显示可信，一会丢杀毒软件里看看。

ulyanov2233

ANY.LNK 发表于 2025-8-25 03:43
依据3楼。而且是之前@wwwab 分享过的那个家族的样本
签名衍生物

这个衍生物三天前eset就发现了不报毒，躲了不少杀软

wowocock

木马通过多重方式躲过杀软对启动项的检测。
1，躲在[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders]的启动目录下，这个比较隐蔽，类似PCHUNTER等很多工具看不到。
2，启动里方式是个快捷方式指向 C:\Users\Public\Libraries\zdfsdasd.exe，该EXE为一个带签名的execute stub，签名为LetsGo Network Incorporated，其功能为启动当前目录app-数字目录下的同名程序，由于数字可以随意变化，导致没法根据名字来定位
3，所执行的程序为网易带签名的白程序，签名为 NetEase (Hangzhou) Network Co., Ltd
4，导入表白利用DLL劫持，劫持DLL为libcef.dll，该DLL可以通过各种去特征来加载其目录下的加密shellcode文件解密执行，除非能第一时间拉黑DLL，否则基本很难查杀。毕竟前面的链都是白的。