可疑patch

BitterLotus

ESET Miss

川建国代理人

智量V2.67高启发Miss

henry217

川建国代理人 发表于 2020-10-24 12:37
智量V2.67高启发Miss

所以说这玩意究竟是有毒吗？看起来行径挺多

秋日之殇

henry217 发表于 2020-10-24 12:38
所以说这玩意究竟是有毒吗？看起来行径挺多

应该无毒，报的都是是黑客工具。卡巴也是提示可能被利用的合法软件。

川建国代理人

henry217 发表于 2020-10-24 12:38
所以说这玩意究竟是有毒吗？看起来行径挺多

这公司签名就离谱

1. CompanyName：知彼而知己

复制代码

https://www.virustotal.com/gui/file/4159ba56c793d9a4ea76a1f364534e9af97ba28e750104697c10d6d97f6c2cfa/detection
一般杀软早就拉黑了

1. MD5
   
2. 7cd8b711be93ff8858b7dc753c4065ca
   
3. SHA1
   
4. 358ead5466fd6f67545cd77d87d541235449558f
   
5. SHA256
   
6. 4159ba56c793d9a4ea76a1f364534e9af97ba28e750104697c10d6d97f6c2cfa
   
7. SHA512
   
8. 99a03912de71e832de24f16f225c38325ad4d5358f31286fe9e27e8face8590aac2ac29abe3d49833154e02ef4612e6dcf6444d7e397baeae3d43d9e6ff6b897
   
9. SSDeep
   
10. 98304:R8sjkqfcfKquIxKbcC+Ad44X8AFp5IbW7zLulUqp/6X0A2UU:3jgfXuIQb7+5A8AFp6bMKUy/zUU

复制代码

行为多的像个勒索
不过有一点值得关注，那就是这个样本操作了本地防火墙的策略和设置
对子文件加里的10个文件进行修改（篡改更贴切）

1. 1
   
2. netsh  advfirewall firewall add rule name="heu-kms-SppExtComObjHook" dir=in action=allow profile=any program="C:\Windows\system32\SppExtComObjHook.dll"
   
3. 2
   
4. C:\Windows\system32\cmd.exe /c  set "Path=%SystemRoot%;%SystemRoot%\system32;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\;" & netsh advfirewall firewall add rule name="HEU_KMS_Activator" dir=in action=allow profile=any program="c:\U
   
5. 3
   
6. netsh  advfirewall firewall delete rule name="HEU_KMS_Renewal"
   
7. 4
   
8. C:\Windows\system32\cmd.exe /c  set "Path=%SystemRoot%;%SystemRoot%\system32;%SystemRoot%\System32\Wbem;%SYSTEMROOT%\System32\WindowsPowerShell\v1.0\;" & netsh advfirewall firewall add rule name="heu-kms-SppExtComObjHook" dir=in action=allow profile=any progra
   
9. 5
   
10. netsh  advfirewall firewall add rule name="HEU_KMS_Activator" dir=in action=allow profile=any program="c:\Users\Administrator\AppData\Local\Temp\heu_kms_activator_v19.5.1.exe"
    
11. 6

复制代码

并创建了30余个除主进程外的隐藏进程，但是其没有与网络相关的操作，可以排除是远控

川建国代理人

秋日之殇 发表于 2020-10-24 12:43
应该无毒，报的都是是黑客工具。卡巴也是提示可能被利用的合法软件。

一切皆有可能，无法排除其不是一个恶意样本

henry217

川建国代理人 发表于 2020-10-24 12:49
一切皆有可能，无法排除其不是一个恶意样本

所以说2019用不成了

川建国代理人

henry217 发表于 2020-10-24 12:51
所以说2019用不成了

激活Office？要么买正版，要么找个靠谱的的激活工具（误）

秋日之殇

henry217 发表于 2020-10-24 12:51
所以说2019用不成了

试试这个：https://bbs.kafan.cn/thread-2187168-1-1.html

munsimli

fsp時時監控與右鍵掃描均不殺，MBAM右鍵掃描殺