样本 7X

zl09221058

卡巴 kill 5x

ytysh

Ahnlab V3 Lite Miss 4x

kuroandsan

Norton 4x

1. 2022/4/22 13:21:37,高,检测到 HEU_KMS_Activator_v23.1.0.exe (Trojan.Gen.MBT) (检测方: 自动防护),已隔离,已解决 - 不需要操作,已执行 威胁 操作: 1
   
2. 2022/4/22 13:21:37,高,检测到 HEU_KMS_Activator_v23.1.0.exe (Heur.AdvML.B) (检测方: 自动防护),已隔离,已解决 - 不需要操作,已执行 威胁 操作: 1
   
3. 2022/4/22 13:21:36,高,检测到 ab5da14826bcfca8d47f86674cd48f865d06f076ae02eec33c4914e9a3072027 (Trojan.Gen.MBT) (检测方: 自动防护),已隔离,已解决 - 不需要操作,已执行 威胁 操作: 1
   
4. 2022/4/22 13:21:36,高,检测到 ab5da14826bcfca8d47f86674cd48f865d06f076ae02eec33c4914e9a3072027 (Heur.AdvML.B) (检测方: 自动防护),已隔离,已解决 - 不需要操作,已执行 威胁 操作: 1

复制代码

hushuai

诺顿剩余3x，2个txt一个jpeg

看了下剩下的文件内容，其中一个txt用base64编码，解密后是知名powershell渗透测试工具集powersploit的其中一个文件Invoke-ReflectivePEInjection.ps1，解码后诺顿杀。（诺顿这报名也是，跟Mimikatz有啥关系）

一个txt太大，加了太多A懒得解。
一个jpeg是用base64编码，解码后是一个powershell function，用ascii char编码，解码后发现关键字段又套了一层base64，懒得解了，诺顿在解码完第一个base64就报毒杀了。

结论：诺顿懒得管套娃怪？
更新：
破案了，这个jpeg文件目的很单纯，就是把第一个txt文件解码，也就是Invoke-ReflectivePEInjection然后执行。
那这个文件单独拿出来没有任何卵用，诺顿为什么会杀呢？杀的是这句话（其实WD到这里也杀了）

kuroandsan

hushuai 发表于 2022-4-22 13:32
诺顿剩余3x，2个txt一个jpeg

看了下剩下的文件内容，其中一个txt用base64编码，解密后是知名powershell ...

怪 刚刚扫的时候少杀一个

aboringman

火绒：4

sichuanwenxuan

WD+智量剩下2个。

haroomini

360剩余86690ab0bfffdf93e5d7d9caecd03b0222c87b8c11cc5c0afcfd0b4fc23ba0e0、b1092927b90db68e89e8fec6e248d6bcdaa4b15b8d64404f482c2811bf45243f

GreatMOLA

EIS KILL 1x

胡淇允

联想杀毒plus（McAfee） kill 2x