文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

一个Hancitor恶意邮件活动Word文档样本的分析

很明显，恶意文档打开后使用了一个干净的文档替换原来的文档内容，一是使恶意文档不重复进行感染，二是更好的隐蔽保护自身。 ?...经过对宏文档和PE负载的分析，发现本次样本包含的宏代码与Hancitor文档宏代码有较大的变化，但是通过对内含主要PE负载文件的分析，发现二者基本一致，比如IDA反汇编后形式、代码加密执行、网络通信协议...因此，可基本判定本次恶意邮件攻击属于Hancitor恶意邮件攻击行动。...三、结语 与以往宏病毒样本相比，本次恶意宏文档具备如下的几个特点： 1、没有网络下载动作。文档内直接包含恶意负载部分，没有利用类似powershell脚本下载恶意文件。 2、没有直接进程执行动作。...不像以往恶意宏会直接执行恶意负载，作者利用感染用户桌面快捷方式的途径来达成进程启动目的。 3、会利用干净文档替换恶意文档，从而更具迷惑性。

2.5K10

恶意样本 | 常用恶意软件分析平台

声明：本人坚决反对利用文章内容进行恶意攻击行为，一切错误行为必将受到惩罚，绿色网络需要靠我们共同维护，推荐大家在了解技术原理的前提下，更好的维护个人信息安全、企业安全、国家安全。...0x01 前言 做为一名网络安全爱好者在日常工作中难免会用到一些恶意软件检测平台，用来分析一些木马样本，例如：钓鱼邮件的恶意样本分析，分析网上下载的工具是否存在木马后门，自己编写了免杀工具查看其免杀效果等...接下来，小编通过网上搜集了一些恶意软件检测的在线平台，总结如下： 0x02 恶意软件检测分析平台 VirSCAN： https://www.virscan.org VirusTotal： https:/

4.1K30
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    蓝队技术 | 使用Sysmon日志识别和分析Windows恶意活动

    3、威胁行为者使用了哪个云盘来分发恶意软件？ 4、初始恶意文件在磁盘上创建了很多文件，并更改了时间戳，那么它对PDF文件修改的时间戳为多少？...6、恶意文件会试图访问伪域名，很可能是为了检查网络连接状态，那么恶意软件会试图连接到哪个伪域名？ 7、恶意进程会试图访问哪个IP地址？...WMI操作等活动，通过分析Sysmon日志，安全专家可以检测潜在风险、发现异常并响应安全事件，以增强整体系统监控和安全性。...2 Processed 1 file in 0.6669 seconds FLARE-VM 04/08/2024 09:24:35 在输出数据的底部，给出了识别到的日志类型...恶意软件活动 文件创建 现在，我们从恶意进程（PID 10672）入手，通过日志分析，我们可以看到恶意软件在目标设备上创建了六个文件： PS > cat .\20240408132435_EvtxECmd_Output.json

    2.9K10

    恶意样本基础分析技巧

    我们需要知道这个恶意代码到底做了什么，如何进行有效检测，才能进一步消除它带来的影响。 本文主要通过几个简单的步骤，分享恶意样本分析的基本方法。...---- 1、多引擎在线病毒扫描 找到了一个恶意样本程序，通过多病毒引擎进行安全扫描，可以帮助你判断文件是否为恶意程序。 VirSCAN：免费多引擎在线病毒扫描1.02版，支持47个杀毒引擎。...2、文件哈希值 文件哈希值是恶意代码的指纹，通过它用来确认文件是否被篡改，也可以通过HASH值查找恶意样本，一般我们也可以使用多种哈希验证文件的唯一性。 ?...可通过获取关键信息，来猜测恶意代码的功能。 ? 6、云沙箱分析 将恶意样本上传到微步云沙箱，通过威胁情报、静态和动态行为分析，以发现恶意程序存在的异常。...7、动态行为分析 通过火绒剑对文件行为、注册表行为、进程行为、网络行为进行分析，捕获恶意样本特征。 ?

    3.1K20

    Roaming Mantis恶意活动分析报告

    卡巴斯基持续关注分析Roaming Mantis相关网络活动。该组织的攻击方法有所改进，不断在新的攻击目标上窃取资金。攻击者利用白名单和运行环境检测等技术避免被分析溯源。...再次说明犯罪分子在活动中总是利用热点话题。 白名单功能 Roaming Mantis在Wroba.g登陆页面（目前仅在朝鲜语页面）中采用了白名单功能，可逃避安全研究人员。...当恶意软件在受感染设备上检测到日本在线银行或特定移动运营商时，它会在后台连接到pinterest.com的恶意帐户获取钓鱼网站。...恶意软件从短信反馈结果自动创建电话号码列表，该恶意软件还可以检查国际移动用户识别码（IMSI），以识别移动运营商，并将电话号码添加到相关列表中。 ?...该组织非常积极地在Android恶意软件中使用SMiShing，这意味着所有受感染的移动设备可能形成一个僵尸网络，用于恶意软件的传送、用户信息窃取等。

    1.6K10

    转盘抽奖活动预防恶意请求攻击

    恶意刷新 恶意刷新就是不停的去刷新提交页面，导致出现大量无效数据，这类问题在实际应用中我们经常遇到，比如一个活动的分享得积分，刷票，刷红包等等，遇到这些问题，你是如何去防止的。...当你在做一个刷红包的活动，或者一个分享得积分的活动时，频繁的被刷新会导致数据库吃紧，严重时会导致系统死机。遇到这方面你是如何防止恶意刷新页面的，说白了也就是恶意刷新你创建的链接。...下面我们来看看防止恶意刷页面的原理： 1 要求在页面间传递一个验证字符串； 2 在生成页面的时候 随机产生一个字符串； 3 做为一个必须参数在所有连接中传递。...我们可以从session方面防止用户恶意刷新。 代码如下： 方案一： <?

    4.3K20

    恶意样本和威胁情报资源的分享

    下面是我平时研究学习恶意样本中的威胁情报的主要来源地方，国外国内的恶意样本分析平台还有很多很优秀的平台以及其他网络渠道(例如github)，可以根据自己需要进行恶意样本的获取。...国外恶意样本源 目前很多新的威胁情报都是来源于国外，因此对于各种新攻击手法，可以重点关注国外的恶意样本源，通过下面的6个平台可以获取到恶意样本。...3、https://tria.ge/reports/public 该平台的恶意样本量还有恶意样本的种类还是比较丰富的，同时也有对应的恶意样本的分析报告，可以结合需要进行获取恶意样本。...4、https://www.hybrid-analysis.com/ 该平台对样本分析识别是否为恶意样本，采用AV的检测方案，同时检测的指标还很多，也对恶意样本进行风险评估，并且将样本里面的攻击方案和防护方案都做分析...国内恶意样本源 1、微步在线云沙箱： https://s.threatbook.com/ 这个微步云沙箱平台的恶意样本也是各种类型都有并且样本量也很多，对恶意样本分析也很详细的。

    2.8K40

    微软检测到Linux XorDDoS恶意软件活动激增

    近期，微软表示在过去六个月中，一种用于入侵Linux设备并构建DDoS僵尸网络的隐秘模块化恶意软件的活动量大幅增加了254%。...微软365Defender研究团队表示，它的规避能力包括混淆恶意软件的活动、规避基于规则的检测机制和基于哈希的恶意文件查找，以及使用反取证技术来破坏基于进程树的分析。...“我们在最近的活动中观察到，XorDdos通过用空字节覆盖敏感文件来隐藏恶意活动以防止分析。”...微软自12月以来检测到的 XorDDoS 活动的巨大增长与网络安全公司 CrowdStrike 的一份报告一致，该报告称Linux 恶意软件在2021年与上一年相比增长了 35% 。...在这三者中，CrowdStrike 表示 XorDDoS 同比显着增长了 123%，而 Mozi 的活动呈爆炸式增长，去年全年在野检测到的样本数量增加了 10 倍。

    86920

    疑似 KimsukyAPT 组织最新攻击活动样本分析

    作者：kczwa1@知道创宇NDR产品团队 时间：2020年9月4日 概述 KimsukyAPT 是一个长期活跃的 APT 攻击组织，一直针对于韩国的智囊团,政府组织,新闻组织,大学教授等等进行活动....此处包含一些迷惑调试器的代码，如图4bca处： 但在IDA中可以正常识别： 由于eax=0，nop word ptr「eax」操作无意义，因此在OD中选择delete analysis后继续单步调试即可...分析代码后发现会将从服务器上读取的文件写入之前创建的临时文件tcf.bin，并将起用loadlibrary加载，因此可以判断tcf.bin应该是一个有更复杂功能的dll木马文件，且load该dll并没有去call 其他导出函数，猜测该dll的恶意代码都在...,并且Kimsuky攻击活动中曾经使用过，同时结合样本的掩护文档的内容，可以确定被攻击者目标是韩国大学相关人士，完全符合以往Kimsuky的攻击意图，因此可以断定此样本的来源大概率是Kimsuky。...总结 通过分析可以看出最新的样本依然有多阶段方便攻击者重新组合攻击工具的特点，目前知道创宇NDR流量监测产品已经支持对次APT攻击活动的精准检测： IOC MD5: adc39a303e9f77185758587875097bb6

    1.4K40

    Wi-Chat：首个基于LLM的 Wi-Fi 人体活动识别系统，开启零样本识别新范式！

    通过使用实际Wi-Fi数据集的实验表明，LLM展现出了强大的推理能力，实现了零样本活动识别。...作者的评估表明，大语言模型可以直接从原始 Wi-Fi 信号中实现零样本的人类活动识别，在未见过的数据上达到最高的准确率 90%。...这使得以零样本方式准确识别人类活动成为可能。...尽管精确度很高，但总体而言，结果显示，大语言模型在基于Wi-Fi的人体活动识别任务中表现出色，尤其是在零样本和少样本设置下，这使它们成为标注数据有限场景中的宝贵工具。...作者在自行收集的Wi-Fi CSI数据集上的实验结果展示了大语言模型在实现零样本Wi-Fi感知方面的巨大潜力。 这些发现表明了一种新的人类活动识别范式，不依赖于大量标注数据。

    1.9K10

    恶意样本对抗栈回溯检测机制的套路浅析

    在本文中我将会简单分析和推测一下这类恶意样本都是通过哪些套路来实现和栈回溯机制的对抗。需要注意的是，文中讨论的堆栈都是代指线程在用户层的堆栈，并未涉及内核层的堆栈。...0x0 准备 用这两天遇到的某个样本举例来说吧。那是个 RTF 文件格式的 CVE-2015-1641 漏洞利用样本。...先推测该样本篡改 TEB 里 StackBase 和 StackLimit 的值。...这时候样本尚未加载并执行 ShellCode，所以这两个值在这时候是纯净的。...突然注意到，多次执行这个恶意样本并同样在 NtCreateUserProcess 命中断点时，这时候的 ESP 和 EBP 的值始终是 0x0900XXXX 左右的地址，而 StackBase 和 StackLimit

    1.5K20

    负载恶意软件HawkEye的VB Inject样本分析

    0x01 概述 恶意软件HawkEye的利用大多都是通过钓鱼邮件分发，利用office直接启动HawkEye主体或者一些经过加密的程序，本文中的VB Inject属于后者，也把重心放在了调试这个VB程序上...VirusTotal上的该样本信息： ? 病毒名大多为VBKrypt或者VBInject。 0x02 行为监控 ?...其实不太清楚偏移0x68是什么，就查了一下： PEB有一个名为NtGlobalFlag（偏移量为0x68）的字段，程序可以挑战识别它们是否正在被调试。...0x05 样本主体 在之前的行为监控中，注意到，样本在C:\User\user\AppData\Romaing\目录下生成了三个文件 pid.txt，pidloc.txt，WindowsUpdate.exe...反编译成功后，发现该程序是恶意软件HawkEye，用于凭据窃取，包括电子邮件Web浏览器，Bitcoin钱包，反病毒检查，键盘记录等。

    1.9K10

    记一次py恶意样本分析实战

    原文链接：https://xz.aliyun.com/news/19111打开py文件，发现样本包含了很长一段的payload，经过多层解压后通过exec来执行代码。...exec是恶意样本常用的命令，典型搭配是先用compile将字节串/字符串编译成可执行对象，再用exec触发执行；常见变体包括：eval/exec混用、getattr(__builtins__, 'exec...filename：源码名，常见为 '' 以减少暴露真实路径mode：'exec'（执行一段程序）、'eval'（求值单个表达式）、'single'（单条交互式语句）样本先通过多层 base64...样本中构造 b'ó ' + b' '*12即写入魔数并将后续12字节清零（伪造时间戳/哈希区），让反编译/反汇编工具能够识别为目标版本的 .pyc并继续处理后续的 marshal字节流。...下面列出了常见版本的魔术，这里由于样本只能在py3.13跑所以直接选3.13的魔数同样，先解一层看看data = data[::-1]pyc_header = b'\xf3\x0d\x0d\x0a' +

    65910

    BOT行为标签匹配引擎：智能识别恶意流量的核心技术原理

    智能分类与动态规则生成 基于聚类分析算法和大数据模型，引擎将请求智能分类为正常人类请求、正常Bot请求、疑似Bot请求以及恶意Bot请求。...精准的智能识别能力 该方案提供超过1000种公开BOT类型的识别能力，基于AI的行为分析引擎能够实现实时会话追溯，通过流量画像匹配行为模型及行为标签，高效检测恶意BOT行为。...其智能分析功能可有效拦截模拟器、群控、脚本等黑产抢刷活动资源行为。...游戏行业客户反馈，在腾讯云WAF和BOT流量管理的保护下，恶意访问流量大幅减少，带宽资源得到释放，游戏安全稳定运行，同时提高了推广活动中真实有价值用户的比例。...腾讯云BOT流量管理通过客户端风险识别、防护规则集与领先的BOT-AI智能识别引擎三重拦截能力，打造了新一代的客户端风险识别体系和多维度实时分析相结合的BOT流量管理体系，不仅能够准确应对恶意机器人程序爬取带来的资源消耗

    39710

    从一个恶意活动中学习 PowerShell 解码

    正如预期所那样，这可能是恶意的。这个方法称之为 Living-Off-The-Land (LOLBins)，即在没有文件落地 (硬盘) 前就执行恶意代码，主要是为了避免触发任何警告。...H4sIAAAAA[..]GDQAA 进行 base64 解码，如下图所示： 3 第三层 – The Last Beacon 查看解码后的内容，并没有什么东西能引起我的注意，看不到 URL，IP，可识别的端口号或像...Alice 喜欢可爱狗狗图片，因此给她发一封伪装的电子邮件，里面有一个恶意附件，上面写着 “你见过狗演奏四弦琴吗？...在活动事件中，快速提取并将此信息快速传递给客户的能力会产生重大影响。现在，他们可以监视/阻止此 IP 和相应的端口 (作为事件响应的一部分)，切断攻击者对其资产的访问。...如果你发现一个名为 UigioaCuQxDqfwNx 的恶意服务，并出现以下字符串，如果你想深入 C2 IP，请以安全的方式发布。

    1.5K40

    【顶刊论文分享】识别恶意bot

    恶意bot通常不会遵从robots.txt，并且会使用robots.txt来识别他们可能忽略的端点。...值得注意的是，Aristaeus平台识别到的恶意bot并没有表现出这种行为模式，其cache breaker都与IP地址一一对应。...四、识别恶意bot 作者在此次实验中共收到了347386个良性请求，占Aristaeus收到请求总数的1.3%。其中搜索引擎bot发出的请求约占84.4%。...根据分析结果可知，恶意bot发送的请求主要包括暴力破解凭证、对web应用程序进行指纹识别、渗透测试、扫描可能存在的敏感文件等，并且会快速实施对最新报告漏洞的探测和攻击。...为了判断bot的真实身份是否与其声明一致，Aristaeus通过识别TLS、JavaScript等指纹发现多数自称是浏览器的bot实际是通过Python和Go实现的，其中TLS指纹在识别恶意bot方面具有非常好的效果

    1.6K20

    如何设置自己的Dionaea蜜罐来收集恶意软件样本

    简介 许多安全人员都热衷于恶意软件的逆向工程。在本文中我将教大家设置一个自己的Dionaea蜜罐，来协助我们恶意软件样本的收集工作。...Dionaea 蜜罐的设计目的是诱捕恶意攻击，获取恶意攻击会话与恶意代码程序样本。...因此，他们可能也不会允许你在他们的服务器上收集恶意软件样本。 AWS设置 现在我们开始设置AWS实例。...该文件用于指定你的恶意软件/二进制文件的位置，以及侦听的接口和端口。你可以保留这些默认值，但请记住，日志文件会变大。 就比如我恶意软件大约1个G但却有19G的日志。 ?...因此，你会收集到更多的恶意软件。我们可以通过services-available和services-enabled目录来切换这些设置。

    1.9K40
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券