#Farfli (distributed via Tg.)

swizzer

https://funami.lanzoub.com/iLdfr061k2ni

Distrovia文件夹里的样本可能需要同时运行有Tg才会有行为。
这个家族之前的倒是不会检测Tg是否在运行





之前上报了一堆，总算是训练模型实现覆盖了

aboringman

dll



com

00006666

双击

1. 时间        操作        说明        次数
   
2. 2022-06-07 19:41:09        [已阻止]          修改 开机启动项        防护 1 次
   
3. 详细描述：
   
4. 注册表位置：HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\[SelfRunDemo]
   
5. 注册表内容："C:\Users\Administrator\Desktop\hihat\Payload\ApplicInetwiz.exe"
   
6. 进程：C:\Users\Administrator\Desktop\hihat\Payload\ApplicInetwiz.exe
   
7. 父进程：C:\Windows\explorer.exe , (103)
   
8. 风险文件：C:\Users\Administrator\Desktop\hihat\Payload\INETCFG.dll
   
9. 防护信息: RD|30, 30, 10|3B344491D5B0C1A35A4975D22EA6A2ED|<sha1>86ecdfa6ba4e352f41cdde0a8aa4b72c47d2be41</sha1>
   

复制代码

红豆有绿豆

火绒kill 1x卡巴扫描miss

白崎桑

1. 时间;扫描程序;对象类型;对象;检测;操作;用户;信息;哈希;此处首次所见
   
2. 2022/6/7 19:45:00;文件系统实时防护;文件;C:\Users\Shirasaki\Downloads\hihat\Payload\template.txt;Win32/Farfli.CUO 特洛伊木马;已通过删除清除;DESKTOP-XXXXXXX\Shirasaki;在通过应用程序创建的新文件上发生了事件: C:\Program Files\Bandizip\Bandizip.exe (04FA6C58B195B0E3723D201A46EDC51FF4C17CD5).;CFAC3739C667157C8C895E96950F8151B93C2752;2022/6/7 19:44:59
   
3. 2022/6/7 19:45:01;文件系统实时防护;文件;C:\Users\Shirasaki\Downloads\hihat\Payload\INETCFG.dll;Win32/Packed.NoobyProtect.O 可疑应用程序 的变量;已通过删除清除;DESKTOP-XXXXXXX\Shirasaki;在通过应用程序创建的新文件上发生了事件: C:\Program Files\Bandizip\Bandizip.exe (04FA6C58B195B0E3723D201A46EDC51FF4C17CD5).;86ECDFA6BA4E352F41CDDE0A8AA4B72C47D2BE41;2022/6/7 19:44:59
   

复制代码

Tom179090

The file E:\infected\hihat\Payload\INETCFG.dll is infected with Gen:Trojan.Heur.PT.v54@b4CSS0 and was moved to quarantine
BD居然有HEUR……第一次见。

开开心心卖手机

SEP KILL 3X

LSPD

Kaspersky
名称: Trojan.Win32.Shelma.inn
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: template.txt
对象路径: C:\Users\msi\Desktop\新建文件夹 (2)\hihat\Payload
MD5: AD32D62710547166E3787A5027D058ED

lvseqiji

Avast 没kill那个com文件

心醉咖啡

毒霸