360流量防火墙篡改版

落华无痕

呃，这是别人提取的360流量防火墙独立版吧。
7-Zip制作的自解压包，里面的dll和exe都有完整数字签名的。

1. ;!@Install@!UTF-8!
   
2. InstallPath="%Temp%"
   
3. OverwriteMode="0"
   
4. SelfDelete="0"
   
5. Title="360流量防火墙"
   
6. ExtractPathTitle=""
   
7. ExtractPathText=""
   
8. ExtractTitle=""
   
9. ExtractDialogText=""
   
10. Progress="no"
    
11. GUIFlags="512"
    
12. RunProgram=""360netman\\netmon\\360netman.exe" "
    
13. Delete="%%T\\360netman"
    
14. ;!@InstallEnd@!

复制代码

？！

落华无痕 发表于 2020-8-5 17:20
呃，这是别人提取的360流量防火墙独立版吧。
7-Zip制作的自解压包，里面的dll和exe都有完整数字签名的。

https://s.threatbook.cn/report/f ... p1_enx86_office2013
看了下微步的报告 那个流程感觉是这个独立版本原来无毒 但被人再次修改过
要不就是那10个杀软都误报了

落华无痕

？！ 发表于 2020-8-5 19:11
https://s.threatbook.cn/report/file/9600d1633b370215d82e92e0f4f42a96e61cbbaa45de9f38952b89fc02bdbb ...

微步行为哪里可疑了？你可以看到微步流程图，这些行为都不是帖子这个exe的，而是释放并运行的360netman\netmon\360netman.exe，后面这个360netman.exe的行为。而后面这个有正确的数字签名。另外一个无数签的自解压包，被设置为自解压并运行解压的exe时，大部分杀软都会报毒的，不管你是不是真的病毒。

？！

落华无痕 发表于 2020-8-5 19:29
微步行为哪里可疑了？你可以看到微步流程图，这些行为都不是帖子这个exe的，而是释放并运行的360netman\n ...

好的，受教了！

落华无痕

再给你个对比帖可以看出。
帖子的样本扫描结果：

从样本提取7z压缩包的扫描结果：


删除样本exe的附加7z数据后的扫描结果：

upx脱壳后的扫描结果：

微步云沙箱分析，安全：https://s.threatbook.cn/report/f ... p1_enx86_office2013

？！

落华无痕 发表于 2020-8-5 19:53
再给你个对比帖可以看出。
帖子的样本扫描结果：

感谢大佬分析

CBLJK

Mcafee报毒