样本1X

莫求

解压后双击打开，管家16报毒了

JuMin

WD

Trojan:Win32/Ulthar.A!ml

123456aaaafsdeg

Ink指的是__MACOSX\.DOCX\DS_Store.bat的这个文件
因此，腾管是报毒DS_Store.bat的这个文件？

miss

1094947421

欧阳宣

gdata

1. Object: wdas.tmp
   
2. 0        0        0                Path: D:\Virus\关于2022年度社保公积金缴存基数调整的说明\__MACOSX\.DOCX
   
3. 0        0        0                Status: File moved to quarantine
   
4. 0        6        0                Virus: Win64.Trojan.Agent.JWR97D (Engine B)
   
5. 0        0        0       
   
6. 0        0        0        Object: wda.tmp
   
7. 0        0        0                Path: D:\Virus\关于2022年度社保公积金缴存基数调整的说明\__MACOSX\.DOCX
   
8. 0        0        0                Status: File moved to quarantine
   
9. 0        6        0                Virus: Win64.Trojan.Agent.JWR97D (Engine B)

复制代码

Jerry.Lin

drweb scan miss all

anxiety520

卡巴 行为检测
Event: Malicious object detected
Application: sihosts.exe
User: DESKTOP-HNNI6UN\islyi
User type: Active user
Component: Behavior Detection
Result description: Detected
Type: Trojan
Name: PDM:Trojan.Win32.Generic
Threat level: High
Object type: Process
Object path: C:\Users\islyi\AppData\Local\Temp
Object name: sihosts.exe
Reason: Behavior analysis
Databases release date: Today, 2022/7/28 10:09:00
SHA256: A0DCB78994EC67A6AC6531B9EDBC83E70046F1C299541EB830B43CDF52821969
MD5: 74F9D36041F0B0834E730B26356B9BE7

---

Event: Malicious object detected
Application: Kaspersky Endpoint Security
User: DESKTOP-HNNI6UN\islyi
User type: Active user
Component: Exploit Prevention
Result description: Detected
Type: Trojan
Name: MEM:Trojan.Win64.Cobalt.gen
Threat level: High
Object type: File
Object name: System Memory
Reason: Expert analysis
Databases release date: Today, 2022/7/28 10:09:00

莫求

123456aaaafsdeg 发表于 2022-7-28 12:17
Ink指的是__MACOSX\.DOCX\DS_Store.bat的这个文件
因此，腾管是报毒DS_Store.bat的这个文件？

其实是报毒是wda.tmp和wdas.tmp文件。DS_Store.bat作用貌似是将这两个文件改名并复制到Temp文件夹。

huangzihang

anxiety520 发表于 2022-7-28 12:35
卡巴 行为检测
Event: Malicious object detected
Application: sihosts.exe

这个行为检测和漏洞利用在哪呀，我咋没在设置里找到，不同地方版本翻译不一样吗
对不起才发现是KES……

lip123

刚开始解压了半天，只有一个快捷文件，后来发现是隐藏了。
火绒扫描miss