网站 › 『病毒救援区』 › 小白刚买了个带队脚本不知道有没有留毒求大神帮分析

特拉斯 发表于 2020-4-14 14:00

小白刚买了个带队脚本不知道有没有留毒求大神帮分析

基本信息
文件名称：单开队长v4.11.exe
MD5：bf5f2949c911f1d74de0260fe1c93dd9
文件类型：EXE
上传时间：2020-04-14 13:36:53
出品公司：vrBrothers Corporation.
版本：2014.0.2.63702---2014.0.2.63702
壳或编译器信息：PACKER:UPolyX v0.5

关键行为

行为描述：探测 Virtual PC是否存在
详情信息：N/A
行为描述：获取文件属性探测虚拟机
详情信息：GetFileAttributesEx: FileName = C:\WINDOWS\system32\VBoxDisp.dllGetFileAttributesEx: FileName = C:\Documents and Settings\Administrator\「开始」菜单\程序\Oracle VM VirtualBox Guest Additions\Uninstall.lnkGetFileAttributesEx: FileName = C:\Documents and Settings\Administrator\「开始」菜单\程序\Oracle VM VirtualBox Guest Additions\Website.lnk
行为描述：设置特殊文件夹属性
详情信息：C:\Documents and Settings\Administrator\Local Settings\Temporary Internet FilesC:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5C:\Documents and Settings\Administrator\Local Settings\HistoryC:\Documents and Settings\Administrator\Local Settings\History\History.IE5C:\Documents and Settings\Administrator\Cookies
行为描述：设置消息钩子
详情信息：C:\WINDOWS\system32\DINPUT8.dllC:\Documents and Settings\Administrator\Local Settings\%temp%\cfgdll.dll
行为描述：查询注册表_检测虚拟机相关
详情信息：\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E968-E325-11CE-BFC1-08002BE10318}\0000\DriverDesc\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosVersion\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\VideoBiosVersion
行为描述：获取User基本信息
详情信息：Level = 2.
行为描述：获取TickCount值
详情信息：TickCount = 224206, SleepMilliseconds = 50.TickCount = 224268, SleepMilliseconds = 50.TickCount = 224362, SleepMilliseconds = 50.TickCount = 224409, SleepMilliseconds = 50.TickCount = 224503, SleepMilliseconds = 50.TickCount = 224612, SleepMilliseconds = 50.TickCount = 224675, SleepMilliseconds = 50.TickCount = 224706, SleepMilliseconds = 50.TickCount = 224737, SleepMilliseconds = 50.TickCount = 224753, SleepMilliseconds = 50.TickCount = 224784, SleepMilliseconds = 50.TickCount = 224987, SleepMilliseconds = 50.TickCount = 226253, SleepMilliseconds = 50.TickCount = 226268, SleepMilliseconds = 50.TickCount = 226284, SleepMilliseconds = 50.
行为描述：打开注册表_检测虚拟机相关
详情信息：\REGISTRY\MACHINE\HARDWARE\ACPI\DSDT\VBOX__
行为描述：获取硬件属性检测虚拟机
详情信息：检测Vmware: 调用WMI接口获取硬件信息
行为描述：查找文件方式探测虚拟机
详情信息：FindFirstFileEx: FileName = C:\Documents and Settings\Administrator\「开始」菜单\程序\Oracle VM VirtualBox Guest Additions\*.*
行为描述：直接获取CPU时钟
详情信息：EAX = 0x74a02dfa, EDX = 0x000000baEAX = 0x74a02e46, EDX = 0x000000baEAX = 0x74a02e92, EDX = 0x000000baEAX = 0x74a02ede, EDX = 0x000000baEAX = 0x74a02f2a, EDX = 0x000000baEAX = 0x74a02f76, EDX = 0x000000baEAX = 0x74a02fc2, EDX = 0x000000baEAX = 0x74a0300e, EDX = 0x000000baEAX = 0x74a0305a, EDX = 0x000000baEAX = 0x74a030a6, EDX = 0x000000ba
行为描述：VMWare特殊指令检测虚拟机
详情信息：N/A

进程行为

[*]创建进程
[*]创建本地线程
[*]枚举进程

更多>>
文件行为

[*]创建文件
[*]获取文件属性探测虚拟机
[*]创建可执行文件
[*]覆盖已有文件
[*]查找文件
[*]删除文件
[*]重命名文件
[*]设置特殊文件夹属性
[*]修改文件内容

更多>>
网络行为

[*]连接指定站点
[*]打开HTTP连接
[*]建立到一个指定的套接字连接
[*]读取网络文件
[*]发送HTTP包
[*]打开HTTP请求
[*]按名称获取主机地址

更多>>
注册表行为

[*]修改注册表
[*]删除注册表键值
[*]打开注册表_检测虚拟机相关
[*]查询注册表_检测虚拟机相关

更多>>
其他行为

[*]检测自身是否被调试
[*]隐藏指定窗口
[*]获取User基本信息
[*]获取光标位置
[*]直接操作物理设备
[*]可执行文件签名信息
[*]加载新释放的文件
[*]查找文件方式探测虚拟机
[*]可执行文件MD5
[*]创建互斥体
[*]获取硬件属性检测虚拟机
[*]VMWare特殊指令检测虚拟机
[*]搜索kernel32.dll基地址
[*]打开事件
[*]获取TickCount值
[*]直接获取CPU时钟
[*]探测 Virtual PC是否存在
[*]创建事件对象
[*]查找指定窗口
[*]窗口信息
[*]调整进程token权限
[*]枚举窗口
[*]调用Sleep函数
[*]打开互斥体

更多>>
https://habo.qq.com/file/historylist应该是下载地址

农村户口 发表于 2020-4-14 22:05

这是什么网游。类似于西游那种队长吗

特拉斯 发表于 2020-4-15 08:11

农村户口 发表于 2020-4-14 22:05
这是什么网游。类似于西游那种队长吗

是的，就是那种

Jx29 发表于 2020-4-15 19:10

能否上传一个样本？

特拉斯 发表于 2020-4-16 14:10

Jx29 发表于 2020-4-15 19:10
能否上传一个样本？

好的。我上传试试看

特拉斯 发表于 2020-4-16 14:12

Jx29 发表于 2020-4-15 19:10
能否上传一个样本？

https://habo.qq.com/file/showdetail?md5=bf5f2949c911f1d74de0260fe1c93dd9&pk=ADcGZV1uB2MIMVs0U2Q%3D=

Jx29 发表于 2020-4-16 17:26

特拉斯 发表于 2020-4-16 14:12
https://habo.qq.com/file/showdetail?md5=bf5f2949c911f1d74de0260fe1c93dd9&pk=ADcGZV1uB2MIMVs0U2Q%3D ...

这个是扫描结果，不能下载
能不能上传到蓝奏云？

特拉斯 发表于 2020-4-17 08:25

Jx29 发表于 2020-4-16 17:26
这个是扫描结果，不能下载
能不能上传到蓝奏云？

https://lanzouj.com/ibibfch

Jx29 发表于 2020-4-17 18:52

绝对是病毒，虚拟机运行后蓝屏
微步扫描:https://s.threatbook.cn/report/file/df36a7db761e13365de5fba8f0dc92c5f250a89c87d59908922bac9fe122e6ca/?sign=history&env=win7_sp1_enx86_office2013
奇安信文件分析: https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&sha1=01ab40f5416fe8185f1d5a41fc655f7737b87691&id=AXGHfjCg8AAcXv3D5zCC&env=&time=

特拉斯 发表于 2020-4-17 21:29

Jx29 发表于 2020-4-17 18:52
绝对是病毒，虚拟机运行后蓝屏
微步扫描:https://s.threatbook.cn/report/file/df36a7db761e13365de5fba8f ...

感谢感谢

查看完整版本: 小白刚买了个带队脚本不知道有没有留毒求大神帮分析