VirusTotal智能搜索itw查找从github下载的恶意Android样本

Posted 2023-02-10 ybdesire

1. Introduction

ITW是in the wild的缩写，VirusTotal提供了itw这个搜索关键词，可以搜到从某个url（部分url）上下载到的样本。

作者写过的其他VirusTotal智能搜索用法的文章见参考1和2.

2. itw使用

比如为了查找从github下载的恶意android样本，可以构造如下查找条件：

itw:"github" tag:apk positives:15+

itw指定样本下载的url中含有的字符串，tag说明查找的是Android样本，positives说明这个样本必须被大于15家Vendor打到。

搜到的一个样本如下所示

可以从RELATIONS中看到，这个样本是从 https[:]//github[.]com/markgambino/file 上下载到的。

访问这个github，可以看到

这个样本确实存在，而且从commits中可以看到作者近期有大量的更新。

把这个样本下载下来，upload到VT上分析，根据分析结果初步可以判断它的family为Banker。

后续：笔者发现这个样本后，过了几个小时，再看时发现它被github的作者删除了。

3. 参考

1. VirusTotal智能搜索，https://blog.csdn.net/ybdesire/article/details/121665678?spm=1001.2014.3001.5501
2. VirusTotal智能搜索安卓样本示例，https://blog.csdn.net/ybdesire/article/details/123885855?spm=1001.2014.3001.5501