Nx-Console供应链攻击自动化投毒样本 Js 1X #Shai-Hulud

飞翔的蒲公英

wwwab 发表于 2026-5-23 10:17

我的问题在于，该样本到底是木马还是蠕虫，我跑了好几个沙箱和分析，大部分说是木马，还都是情报拉黑的木马，还有跑完说样本本身没高威行为的够不上明确威胁偏PUA类，但很少报蠕虫的。纯吹毛求疵的一个问题。

驭龙

飞翔的蒲公英 发表于 2026-5-23 15:55
我的问题在于，该样本到底是木马还是蠕虫，我跑了好几个沙箱和分析，大部分说是木马，还都是情报拉黑的木 ...

跑不出来，可能是环境原因，如果真的满足运行的全部条件，这东西会把电脑上的敏感信息上传，同时通过C2下载其他东西，所以这东西危险性很大，总结一句话，智甲判断有误

啊松

飞翔的蒲公英 发表于 2026-5-23 15:55
我的问题在于，该样本到底是木马还是蠕虫，我跑了好几个沙箱和分析，大部分说是木马，还都是情报拉黑的木 ...

你把后缀改成txt拿去问ai就知道了

飞翔的蒲公英

驭龙 发表于 2026-5-23 22:37
跑不出来，可能是环境原因，如果真的满足运行的全部条件，这东西会把电脑上的敏感信息上传，同时通过C2下 ...

终于等到龙大了，昨天想艾特你发现艾特不了，智甲报啥我不关心，我更关心的是这个样本，为什么跑了好几个沙箱都报木马，还都是ioc拉黑的，但是卡巴等部分怎么报蠕虫，这个样本反虚拟机跑不起来，但看着更像木马而不是蠕虫。

飞翔的蒲公英

啊松 发表于 2026-5-23 22:57
你把后缀改成txt拿去问ai就知道了

昨天跑ai了，说木马

驭龙

飞翔的蒲公英 发表于 2026-5-24 08:10
终于等到龙大了，昨天想艾特你发现艾特不了，智甲报啥我不关心，我更关心的是这个样本，为什么跑了好几个 ...

很简单，因为它有传染性，感染以后，会通过感染的设备复制或者传播到其他设备，这是典型的蠕虫行为，这是很正常的啊，所以hulud就是蠕虫

飞翔的蒲公英

驭龙 发表于 2026-5-24 22:30
很简单，因为它有传染性，感染以后，会通过感染的设备复制或者传播到其他设备，这是典型的蠕虫行为，这是 ...

但目前没看到有感染传播的这种典型蠕虫行为，更像后门回传那种木马

驭龙

飞翔的蒲公英 发表于 2026-5-25 14:27
但目前没看到有感染传播的这种典型蠕虫行为，更像后门回传那种木马

因为沙箱分析是跑不出来这些行为的，没有相关的环境条件。

我想说的是这个hulud已经被公认是感染型蠕虫病毒了，你觉得专业威胁分析师比不过沙箱的分析吗？这是不会的
你可以看看这篇简单易懂的中文报告
https://www.zzwa.org.cn/10803/

飞翔的蒲公英

驭龙 发表于 2026-5-25 14:34
因为沙箱分析是跑不出来这些行为的，没有相关的环境条件。

我想说的是这个hulud已经被公认是感染型蠕 ...

行，这个样本反沙盒，还缺其他环境，跑了好几个沙箱都报木马说没蠕虫行为，还有问的火绒人工分析说是这个样本是木马没有蠕虫行为，我还以为卡巴报错了，没你这个链接我还真不知道这个是蠕虫。感谢龙大的回复！！