WIM格式病毒

truetime

hyx2230 发表于 2022-7-2 13:49
是你没更新吧

看完你的截图就更新了一下，提示没有更新。扫描了好几遍。。。。卒。。。。

UNknownOoo

智量
扫描：Heur.ML.PE.B
双击：未测试（有谁实体机双击下awa？

WD
扫描：Trojan:Win32/Wacatac.B!ml

hyx2230

truetime 发表于 2022-7-2 13:51
看完你的截图就更新了一下，提示没有更新。扫描了好几遍。。。。卒。。。。

把WIM解压出来才能杀，火绒貌似不杀WIM文件

ICzcz

wim\sdf1sd56f1sd56f1sd563f1sd5.exe - Win32/Packed.VMProtect.AGR 可疑应用程序 的变量 - 已通过删除清除 [1]

aboringman

360：miss



很好奇隐私保镖能不能防御这类东西。

jerry6341

wim是系统映像文件，类似于iso，简单点说就是类似于压缩文件格式。解压后发现一个exe后缀的可执行文件，360安全卫士未见报毒，腾讯电脑管家未见报毒。由于该程序加了壳，无法在虚拟机中做动态分析。上传微步云沙箱后提示为安全，有且仅有两个引擎报毒；上传360安全大脑沙箱云后，评分为7.5分。https://ata.360.cn/report/20692297650176/analyse

UNknownOoo

jerry6341 发表于 2022-7-2 14:45
wim是系统映像文件，类似于iso，简单点说就是类似于压缩文件格式。解压后发现一个exe后缀的可执行文件，360 ...

那个文件已损坏是假报错框嘛？

心心相印

md miss

ICzcz

Dear ICzcz,

Thank you for your submission.
The detection for this threat will be included in the next update of detection engine, expected version: 25531.

A.wim - Win32/QQWare.DM trojan

Regards,

ESET Malware Response Team

不太理解现在预发布更新都还只是25529P

检测引擎;25529P;2022/7/1

为什么分析师要到25531才杀
有人知道为什么吗

jerry6341

UNknownOoo 发表于 2022-7-2 15:38
那个文件已损坏是假报错框嘛？

应该是，可能是沙箱分析的环境不同。我这边用Windows Sandbox沙盒运行分析的时候是提示此应用程序不能在虚拟机中运行，在微步云沙箱中分析的时候也是这样，但360云沙箱里提示文件损坏，应该是该程序自带的VMP壳起了作用，反虚拟机技术用的。