各位高手，请帮忙看看，这个是火绒的全盘查杀结果，哪些可以忽略，哪些要立即处理...

wwwab

coolrui 发表于 2021-1-15 20:20
辅助杀毒是什么意思啊

帮你杀毒，字面意思

川建国代理人

wwwab 发表于 2021-1-15 19:57
未必，c那个是火绒哈希值人工入库的，b那个也是报的宏，而且并不是启发杀法。所以并不完全排除是病毒的可 ...

这两个VT报毒量都是0

yjwfdc

wwwab 发表于 2021-1-15 19:57
未必，c那个是火绒哈希值人工入库的，b那个也是报的宏，而且并不是启发杀法。所以并不完全排除是病毒的可 ...

同意，c那个和WQY那个同一哈希值，病毒名一样。

coolrui

川建国代理人 发表于 2021-1-16 09:29
这两个VT报毒量都是0

您好，高手，看看这个帖子里面发的是不是病毒啊？谢谢https://bbs.kafan.cn/forum.php?m ... ;page=1#pid48011024

wwwab

coolrui 发表于 2021-1-16 11:20
您好，高手，看看这个帖子里面发的是不是病毒啊？谢谢https://bbs.kafan.cn/forum.php?mod=viewthread&ti ...

你好，是毒的。需要帮助杀毒的话可以留个q。你电脑上目前大部分都是感染性病毒和宏病毒，使用全部处理没有关系的。火绒只会把恶意代码清除，不会影响源文件和系统的任何使用

wwwab

川建国代理人 发表于 2021-1-16 09:29
这两个VT报毒量都是0

1.可能是没后缀的原因
2.缓存文件，清除并不会影响软件和系统的任何使用。而且还担心是毒，清除一下何乐而不为呢

wwwab

coolrui 发表于 2021-1-15 17:11
微信那个是https://www.423down.com/下载的

微信你下下来是没问题的，但是被你电脑上的本地感染性病毒给再次感染了，所以你电脑上存在的那个是有毒的。直接处理！处理完微信是还在的，只是被修复了！不会对你的电脑有任何影响……

wwwab

感染性病毒请务必处理，都是根据字符串扫描的，误报的可能性只有1%

coolrui

wwwab 发表于 2021-1-16 12:59
微信你下下来是没问题的，但是被你电脑上的本地感染性病毒给再次感染了，所以你电脑上存在的那个是有毒的 ...

谢谢啊

wwwab

coolrui 发表于 2021-1-15 17:11
微信那个是https://www.423down.com/下载的

经过检测，您压缩包内的WeChat.Patch.20201120.exet，大小为145.5kb，哈希值为

1. MD5:  3214b0bba78e15837c12eafe07f5457e
   
2. SHA1:  40478b031f91987e26cb2cb9f0fefefd7a0a8207
   
3. SHA256:  6c3d17771100ec4a6aa1547f5d089a061278ea3b5750e513644d9075d5a31e67
   
4. SSDeep:  3072:nrwUVMgJOa71KiOFndppOYenPZcn3lgUY:nc1W/giCnd+T5UY

复制代码

您提供的下载链接，下载到的WeChat.Patch.20201120.exe，大小为64kb，哈希值为

1. MD5:  01cfb855bf382791aa0158a7d43cdf90
   
2. SHA1:  4eb327e39fa6ea904ce48d5d01423c6dac583ffe
   
3. SHA256:  be01f5f87057edcbd0ca670ceedb499d107aa0c949a16d617c53f637b72bad64
   
4. SSDeep:  1536:GTdkVswmP384MuEmZauJlMa7/9x81iOFUUk+dVRcoaQe1:grwUVMgJOa71KiOFnd

复制代码

两个文件完全不同，大小都差了十万百千里，页面倒一样，一样可以证实确实是被感染了。
且被感染文件在沙箱中发现了已知的感染性病毒行为，源文件无。

1. 已知木马行为-Begseabug 收起
   
2. 威胁类别
   
3. 
   
4. 类型
   
5. 
   
6. 内容
   
7. 
   
8. 描述
   
9. 
   
10. 互斥量
    
11. 
    
12. ioc
    
13. 
    
14. SeBebugPrivilege

复制代码

被感染文件的行为签名与源文件行为签名也完全不同，多了一大堆恶意行为，源文件无。
被感染文件的进程详情也与源文件完全不同，释放了恶意实施感染的程序system.exe、net.exe、net1.exe、sc.exe等，均在系统根目录下，源文件无。
被感染文件有尝试禁止系统防火墙、Windows defender等保护功能的行为，源文件无。
被感染文件有挂载驱动的行为，源文件无。
被感染文件字符串与源文件字符串依然还是完全不同。在被感染文件的字符串当中，有调用很多dll进行恶意行为的病毒字符，以及要求调用Microsoft Visual C++ Runtime Library实施病毒行为，源文件无。





所以这不是误报！！！经手工确实，确实是被感染了！！！源文件未能跑出可疑行为特征，但是被感染文件却被跑出来了，这还能说明啥？……