传奇私-Fu rootkit2x及释放程序

qwe12301

金山毒霸报了1个

UNknownOoo

智量
扫描：拉黑3x
双击：
7a1355.sys➡WIBD:HEUR.MalPersistence.D
pdfctl32.dll➡WIBD:HEUR.MalPersistence.D

一只Lunda

火绒双击
风险分类：木马盗号
访问网址：tlh9jubdcpxquo.udlbtvdrqcfflxj.xyz/
操作结果：已阻止

进程ID：336
扫描

操作进程：C:\Windows\System32\svchost.exe
操作进程命令行：C:\Windows\system32\svchost.exe -k NetworkService

QVM360

智量前天的毒库
扫描双击 miss all

ANY.LNK

00006666 发表于 2022-7-24 21:01
pdfctl32.dll是恶意DLL

双击EXE程序

pdfctl64.dll是恶意的吗？

ANY.LNK

00006666 发表于 2022-7-24 21:14
感觉和FiveSys有关联......

微软方面也觉得觉得跟Fivesys有关联，这次上报回复的挺快

00006666

ANY.LNK 发表于 2022-7-25 00:12
pdfctl64.dll是恶意的吗？

pdfctl64.dll暂时没测出来恶意行为，不过如果要确定是不是恶意，需要逆向才知道……

ANY.LNK

微软目前鉴定结果：
2个pdfctl32.dll为TrojanProxy类别的Malware
2个sys为Malware（暂未分配名称）
config.ini ini.ini new.db new_2.db为Threat Related
txt2pdf.exe pdfctl64.dll为Not malware

Jerry.Lin

wwwab

心心相印 发表于 2022-7-24 21:37
mcafee 1x

McAfee Labs Sample Analysis

ID Number:  11115705   Identified: Generic.TRA

Synopsis:

Thank you for submitting your suspicious file(s) for analysis. Attached is an EXTRA.DAT file for extra detection.

Solution:

The attached EXTRA.DAT file will detect the following submitted files:

Filename            MD5 digest                                                      
--------            ----------                                                      
pdfctl32.dll        3d7c876f9e2a3f0159d51a628a211a74                                 
984610a8.sys        a7251aad1e81c6194b34dabf6edd6b4a                                 
9f097877.sys        bd3fae4ceb0cfc0d41fb12a940d82a1a                                 

The EXTRA.DAT file should be copied into the directory where the other DAT files reside (ex: C:\Program Files\Common Files\McAfee\Engine).
Additional information, including steps to deploy EXTRA.DAT files, is available in the following location: http://www.mcafee.com/us/threat-center/system-help/extra-dat.aspx

迈克菲发来了extra.dat：https://pan.huang1111.cn/s/veo9FE

还挺快