文档建议反馈控制台
首页
学习
活动
专区
工具
TVP
最新优惠活动
文章/答案/技术大牛
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

一个Hancitor恶意邮件活动Word文档样本的分析

很明显，恶意文档打开后使用了一个干净的文档替换原来的文档内容，一是使恶意文档不重复进行感染，二是更好的隐蔽保护自身。 ?...经过对宏文档和PE负载的分析，发现本次样本包含的宏代码与Hancitor文档宏代码有较大的变化，但是通过对内含主要PE负载文件的分析，发现二者基本一致，比如IDA反汇编后形式、代码加密执行、网络通信协议...因此，可基本判定本次恶意邮件攻击属于Hancitor恶意邮件攻击行动。...三、结语 与以往宏病毒样本相比，本次恶意宏文档具备如下的几个特点： 1、没有网络下载动作。文档内直接包含恶意负载部分，没有利用类似powershell脚本下载恶意文件。 2、没有直接进程执行动作。...不像以往恶意宏会直接执行恶意负载，作者利用感染用户桌面快捷方式的途径来达成进程启动目的。 3、会利用干净文档替换恶意文档，从而更具迷惑性。

1.6K10

恶意样本 | 常用恶意软件分析平台

声明：本人坚决反对利用文章内容进行恶意攻击行为，一切错误行为必将受到惩罚，绿色网络需要靠我们共同维护，推荐大家在了解技术原理的前提下，更好的维护个人信息安全、企业安全、国家安全。...0x01 前言 做为一名网络安全爱好者在日常工作中难免会用到一些恶意软件检测平台，用来分析一些木马样本，例如：钓鱼邮件的恶意样本分析，分析网上下载的工具是否存在木马后门，自己编写了免杀工具查看其免杀效果等...接下来，小编通过网上搜集了一些恶意软件检测的在线平台，总结如下： 0x02 恶意软件检测分析平台 VirSCAN： https://www.virscan.org VirusTotal： https:/

2K30
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    恶意样本基础分析技巧

    我们需要知道这个恶意代码到底做了什么，如何进行有效检测，才能进一步消除它带来的影响。 本文主要通过几个简单的步骤，分享恶意样本分析的基本方法。...---- 1、多引擎在线病毒扫描 找到了一个恶意样本程序，通过多病毒引擎进行安全扫描，可以帮助你判断文件是否为恶意程序。 VirSCAN：免费多引擎在线病毒扫描1.02版，支持47个杀毒引擎。...2、文件哈希值 文件哈希值是恶意代码的指纹，通过它用来确认文件是否被篡改，也可以通过HASH值查找恶意样本，一般我们也可以使用多种哈希验证文件的唯一性。 ?...可通过获取关键信息，来猜测恶意代码的功能。 ? 6、云沙箱分析 将恶意样本上传到微步云沙箱，通过威胁情报、静态和动态行为分析，以发现恶意程序存在的异常。...7、动态行为分析 通过火绒剑对文件行为、注册表行为、进程行为、网络行为进行分析，捕获恶意样本特征。 ?

    1.9K20

    蓝队技术 | 使用Sysmon日志识别和分析Windows恶意活动

    3、威胁行为者使用了哪个云盘来分发恶意软件？ 4、初始恶意文件在磁盘上创建了很多文件，并更改了时间戳，那么它对PDF文件修改的时间戳为多少？...6、恶意文件会试图访问伪域名，很可能是为了检查网络连接状态，那么恶意软件会试图连接到哪个伪域名？ 7、恶意进程会试图访问哪个IP地址？...WMI操作等活动，通过分析Sysmon日志，安全专家可以检测潜在风险、发现异常并响应安全事件，以增强整体系统监控和安全性。...2 Processed 1 file in 0.6669 seconds FLARE-VM 04/08/2024 09:24:35 在输出数据的底部，给出了识别到的日志类型...恶意软件活动 文件创建 现在，我们从恶意进程（PID 10672）入手，通过日志分析，我们可以看到恶意软件在目标设备上创建了六个文件： PS > cat .\20240408132435_EvtxECmd_Output.json

    52410

    Roaming Mantis恶意活动分析报告

    卡巴斯基持续关注分析Roaming Mantis相关网络活动。该组织的攻击方法有所改进，不断在新的攻击目标上窃取资金。攻击者利用白名单和运行环境检测等技术避免被分析溯源。...再次说明犯罪分子在活动中总是利用热点话题。 白名单功能 Roaming Mantis在Wroba.g登陆页面（目前仅在朝鲜语页面）中采用了白名单功能，可逃避安全研究人员。...当恶意软件在受感染设备上检测到日本在线银行或特定移动运营商时，它会在后台连接到pinterest.com的恶意帐户获取钓鱼网站。...恶意软件从短信反馈结果自动创建电话号码列表，该恶意软件还可以检查国际移动用户识别码（IMSI），以识别移动运营商，并将电话号码添加到相关列表中。 ?...该组织非常积极地在Android恶意软件中使用SMiShing，这意味着所有受感染的移动设备可能形成一个僵尸网络，用于恶意软件的传送、用户信息窃取等。

    94210

    恶意样本和威胁情报资源的分享

    下面是我平时研究学习恶意样本中的威胁情报的主要来源地方，国外国内的恶意样本分析平台还有很多很优秀的平台以及其他网络渠道(例如github)，可以根据自己需要进行恶意样本的获取。...国外恶意样本源 目前很多新的威胁情报都是来源于国外，因此对于各种新攻击手法，可以重点关注国外的恶意样本源，通过下面的6个平台可以获取到恶意样本。...3、https://tria.ge/reports/public 该平台的恶意样本量还有恶意样本的种类还是比较丰富的，同时也有对应的恶意样本的分析报告，可以结合需要进行获取恶意样本。...4、https://www.hybrid-analysis.com/ 该平台对样本分析识别是否为恶意样本，采用AV的检测方案，同时检测的指标还很多，也对恶意样本进行风险评估，并且将样本里面的攻击方案和防护方案都做分析...国内恶意样本源 1、微步在线云沙箱： https://s.threatbook.com/ 这个微步云沙箱平台的恶意样本也是各种类型都有并且样本量也很多，对恶意样本分析也很详细的。

    70540

    转盘抽奖活动预防恶意请求攻击

    恶意刷新 恶意刷新就是不停的去刷新提交页面，导致出现大量无效数据，这类问题在实际应用中我们经常遇到，比如一个活动的分享得积分，刷票，刷红包等等，遇到这些问题，你是如何去防止的。...当你在做一个刷红包的活动，或者一个分享得积分的活动时，频繁的被刷新会导致数据库吃紧，严重时会导致系统死机。遇到这方面你是如何防止恶意刷新页面的，说白了也就是恶意刷新你创建的链接。...下面我们来看看防止恶意刷页面的原理： 1 要求在页面间传递一个验证字符串； 2 在生成页面的时候 随机产生一个字符串； 3 做为一个必须参数在所有连接中传递。...我们可以从session方面防止用户恶意刷新。 代码如下： 方案一： <?

    3.4K20

    三十一.恶意代码检测(1)恶意代码攻击溯源及恶意样本分析

    为了进一步震慑黑客组织与网络犯罪活动，目前学术界和产业界均展开了恶意代码溯源分析与研究工作。其基本思路是： 同源分析： 利用恶意样本间的同源关系发现溯源痕迹，并根据它们出现的前后关系判定变体来源。...例如，Kinable等人提取恶意代码的系统调用图，采用图匹配的方式比较恶意代码的相似性，识别出同源样本，进行家族分类。...Faruki等提出了采用SDhash相似性散列技术构建样本的签名序列，并采用汉明距离法对序列进行相似性计算，从而识别同源性样本。...，从而识别出相似性样本，进而归属到对应的家族。...Niu等提出了层次聚类和密度聚类算法结合的快速聚类算法对操作码序列特征进行聚类，以识别恶意软件变体，该方法识别变体效率较高。

    4.8K30

    微软检测到Linux XorDDoS恶意软件活动激增

    近期，微软表示在过去六个月中，一种用于入侵Linux设备并构建DDoS僵尸网络的隐秘模块化恶意软件的活动量大幅增加了254%。...微软365Defender研究团队表示，它的规避能力包括混淆恶意软件的活动、规避基于规则的检测机制和基于哈希的恶意文件查找，以及使用反取证技术来破坏基于进程树的分析。...“我们在最近的活动中观察到，XorDdos通过用空字节覆盖敏感文件来隐藏恶意活动以防止分析。”...微软自12月以来检测到的 XorDDoS 活动的巨大增长与网络安全公司 CrowdStrike 的一份报告一致，该报告称Linux 恶意软件在2021年与上一年相比增长了 35% 。...在这三者中，CrowdStrike 表示 XorDDoS 同比显着增长了 123%，而 Mozi 的活动呈爆炸式增长，去年全年在野检测到的样本数量增加了 10 倍。

    35120

    疑似 KimsukyAPT 组织最新攻击活动样本分析

    作者：kczwa1@知道创宇NDR产品团队 时间：2020年9月4日 概述 KimsukyAPT 是一个长期活跃的 APT 攻击组织，一直针对于韩国的智囊团,政府组织,新闻组织,大学教授等等进行活动....此处包含一些迷惑调试器的代码，如图4bca处： 但在IDA中可以正常识别： 由于eax=0，nop word ptr「eax」操作无意义，因此在OD中选择delete analysis后继续单步调试即可...分析代码后发现会将从服务器上读取的文件写入之前创建的临时文件tcf.bin，并将起用loadlibrary加载，因此可以判断tcf.bin应该是一个有更复杂功能的dll木马文件，且load该dll并没有去call 其他导出函数，猜测该dll的恶意代码都在...,并且Kimsuky攻击活动中曾经使用过，同时结合样本的掩护文档的内容，可以确定被攻击者目标是韩国大学相关人士，完全符合以往Kimsuky的攻击意图，因此可以断定此样本的来源大概率是Kimsuky。...总结 通过分析可以看出最新的样本依然有多阶段方便攻击者重新组合攻击工具的特点，目前知道创宇NDR流量监测产品已经支持对次APT攻击活动的精准检测： IOC MD5: adc39a303e9f77185758587875097bb6

    94440

    负载恶意软件HawkEye的VB Inject样本分析

    0x01 概述 恶意软件HawkEye的利用大多都是通过钓鱼邮件分发，利用office直接启动HawkEye主体或者一些经过加密的程序，本文中的VB Inject属于后者，也把重心放在了调试这个VB程序上...VirusTotal上的该样本信息： ? 病毒名大多为VBKrypt或者VBInject。 0x02 行为监控 ?...其实不太清楚偏移0x68是什么，就查了一下： PEB有一个名为NtGlobalFlag（偏移量为0x68）的字段，程序可以挑战识别它们是否正在被调试。...0x05 样本主体 在之前的行为监控中，注意到，样本在C:\User\user\AppData\Romaing\目录下生成了三个文件 pid.txt，pidloc.txt，WindowsUpdate.exe...反编译成功后，发现该程序是恶意软件HawkEye，用于凭据窃取，包括电子邮件Web浏览器，Bitcoin钱包，反病毒检查，键盘记录等。

    1.1K10

    恶意样本对抗栈回溯检测机制的套路浅析

    在本文中我将会简单分析和推测一下这类恶意样本都是通过哪些套路来实现和栈回溯机制的对抗。需要注意的是，文中讨论的堆栈都是代指线程在用户层的堆栈，并未涉及内核层的堆栈。...0x0 准备 用这两天遇到的某个样本举例来说吧。那是个 RTF 文件格式的 CVE-2015-1641 漏洞利用样本。...先推测该样本篡改 TEB 里 StackBase 和 StackLimit 的值。...这时候样本尚未加载并执行 ShellCode，所以这两个值在这时候是纯净的。...突然注意到，多次执行这个恶意样本并同样在 NtCreateUserProcess 命中断点时，这时候的 ESP 和 EBP 的值始终是 0x0900XXXX 左右的地址，而 StackBase 和 StackLimit

    79820

    【顶刊论文分享】识别恶意bot

    恶意bot通常不会遵从robots.txt，并且会使用robots.txt来识别他们可能忽略的端点。...值得注意的是，Aristaeus平台识别到的恶意bot并没有表现出这种行为模式，其cache breaker都与IP地址一一对应。...四、识别恶意bot 作者在此次实验中共收到了347386个良性请求，占Aristaeus收到请求总数的1.3%。其中搜索引擎bot发出的请求约占84.4%。...根据分析结果可知，恶意bot发送的请求主要包括暴力破解凭证、对web应用程序进行指纹识别、渗透测试、扫描可能存在的敏感文件等，并且会快速实施对最新报告漏洞的探测和攻击。...为了判断bot的真实身份是否与其声明一致，Aristaeus通过识别TLS、JavaScript等指纹发现多数自称是浏览器的bot实际是通过Python和Go实现的，其中TLS指纹在识别恶意bot方面具有非常好的效果

    87620

    如何设置自己的Dionaea蜜罐来收集恶意软件样本

    简介 许多安全人员都热衷于恶意软件的逆向工程。在本文中我将教大家设置一个自己的Dionaea蜜罐，来协助我们恶意软件样本的收集工作。...Dionaea 蜜罐的设计目的是诱捕恶意攻击，获取恶意攻击会话与恶意代码程序样本。...因此，他们可能也不会允许你在他们的服务器上收集恶意软件样本。 AWS设置 现在我们开始设置AWS实例。...该文件用于指定你的恶意软件/二进制文件的位置，以及侦听的接口和端口。你可以保留这些默认值，但请记住，日志文件会变大。 就比如我恶意软件大约1个G但却有19G的日志。 ?...因此，你会收集到更多的恶意软件。我们可以通过services-available和services-enabled目录来切换这些设置。

    1.3K40

    HW在即——红队活动之Lnk样本载荷篇

    HW在即——红队活动之Lnk样本载荷篇 注意: 1.本篇文章由Gcow安全团队绝影小组原创(主要研究于红蓝对抗领域) 2.本篇文章一共2700多字,44张图,预计用时8分钟 3.希望各位看官如果在看到错误的地方可以在私信或者评论向笔者指出...,笔者将感激不尽 4.如果因为本篇文章而造成的相关损失本公众号不给予赔偿. 5.本篇文章只是学习交流,若出现因通过本篇文章而出现进行的攻击活动,本公众号概不负责 0x00.前言: 在日常的活动中,我们都可以看到...,下面我们将先通过解析LNK文件格式进行切入,再通过其基础进行样本的相关构造,最后我们会介绍一些需要注意的地方.也希望各位看官如果在看到错误的地方可以在私信或者评论向笔者指出,笔者将感激不尽。...另外本样本不讨论相关的免杀性,免杀的操作请各位看官自己实现. 0x01 LNK文件格式解析: 文件前20字节固定不变： ?...图片30 效果展示 其会根据目标机器上所安装的环境进行适配,以显示出符合本机环境的图标,加大了样本的成功几率 0x02.2 修改目标 原始目标如下所示： ?

    1.3K20

    从一个恶意活动中学习 PowerShell 解码

    正如预期所那样，这可能是恶意的。这个方法称之为 Living-Off-The-Land (LOLBins)，即在没有文件落地 (硬盘) 前就执行恶意代码，主要是为了避免触发任何警告。...H4sIAAAAA[..]GDQAA 进行 base64 解码，如下图所示： 3 第三层 – The Last Beacon 查看解码后的内容，并没有什么东西能引起我的注意，看不到 URL，IP，可识别的端口号或像...Alice 喜欢可爱狗狗图片，因此给她发一封伪装的电子邮件，里面有一个恶意附件，上面写着 “你见过狗演奏四弦琴吗？...在活动事件中，快速提取并将此信息快速传递给客户的能力会产生重大影响。现在，他们可以监视/阻止此 IP 和相应的端口 (作为事件响应的一部分)，切断攻击者对其资产的访问。...如果你发现一个名为 UigioaCuQxDqfwNx 的恶意服务，并出现以下字符串，如果你想深入 C2 IP，请以安全的方式发布。

    87740

    比特币疯涨让黑客眼红 恶意开采活动猛增

    除了虚假应用程序，黑客还会通过恶意软件侵入用户的电脑，并利用被侵入者的电脑作比特币挖矿机。通过侵入陌生人的电脑或手机，黑客将“挖矿”工作安装在这些设备上——这通常是一个代价高昂且复杂的过程。...网络安全领导者Symantec首席威胁研究员坎迪德o韦斯特指出，比特币人气的爆炸性增长进一步激发了其他加密货币的开发，而恶意软件开发者正在利用各种工具来挖掘这些加密货币。...根据Symantec发布的报告，恶意“挖矿”活动正在增加。黑客可以将恶意代码隐藏在网站上，而网站的用户并没有意识到自己已经成为加密货币的“矿工”。 这可能是一种有利可图的安排。...本周，黑客瞄准了使用WordPress内容管理系统的网站，并在被侵入的网站上安装了门罗币采矿恶意软件。据传，攻击者至少赚了10万美元。 数字货币交换也是黑客的热门目标。...其中一些欺骗活动出现在搜索引擎和网站的广告中，或者出现在社交软件Slack的聊天室中。要知道，用户经常在这些聊天室内讨论数字货币。 他认为，针对数字货币以及比特币用户的恶意攻击只会越来越严重。

    75460
    点击加载更多

    扫码

    添加站长 进交流群

    领取专属 10元无门槛券

    手把手带您无忧上云

    扫码加入开发者社群

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2024 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 深公网安备号 44030502008569

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号 | 京公网安备号11010802020287

      领券