TG中文语言包后门x2 0809 vt3/70

显示全部楼层 · 发表于 2022-8-9 10:57:19

本帖最后由 kyuno1 于 2022-8-9 15:02 编辑

https://t.wss.ink/f/901110pnu8b 复制链接到浏览器打开
发帖时间 vt 样本大的3/70 小的10/70
TIP已经上报 KIS应该没问题

Hello,
New malicious software was found in the attached file.
Backdoor.Win32.Lotok.igh
Its detection will be included in the next update.
Thank you for your help.
Best regards, Alexey Safonov, Malware Analyst, Kaspersky Lab
39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com https://securelist.com
https://opentip.kaspersky.com/ - get insights about suspicious files, hashes, URLs, IP addresses or domain names

复制代码

Hello,
Already detected as HEUR:Backdoor.Win32.Lotok.gen.
Best regards, Alexey Safonov, Malware Analyst, Kaspersky Lab
39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com https://securelist.com
https://opentip.kaspersky.com/ - get insights about suspicious files, hashes, URLs, IP addresses or domain names

复制代码

更新邮件反馈

显示全部楼层 · 发表于 2022-8-9 11:06:28

eset扫描1x，剩下那个双击允许后寄（已上报）

显示全部楼层 · 发表于 2022-8-9 11:15:43

本帖最后由喀反于 2022-8-9 11:31 编辑

WD扫描miss双击：Trojan:Win32/Wacatac.B!ml
点击安装{纸飞机}简体中文语言包.exe 拦截衍生物，但WD被自动添加大量病毒文件路径的排除项

显示全部楼层 · 发表于 2022-8-9 11:24:59

BD 扫描1x

The file D:\Download\vir\样本0809 TG语言包后门x2\点击此安装简体中文语言包.exe is infected with Gen:Suspicious.Cloud.4.9y2@ai4RFzji and was moved to quarantine. It is recommended that you run a System Scan to make sure your system is clean.

复制代码

另一个双击kill衍生物

显示全部楼层 · 发表于 2022-8-9 11:40:45

Ahnlab V3 Lite Miss All.

显示全部楼层 · 发表于 2022-8-9 12:13:40

显示全部楼层 · 发表于 2022-8-9 12:36:49

Shake2333 发表于 2022-8-9 11:06
eset扫描1x，剩下那个双击允许后寄（已上报）

最新毒库已经可以清空了

显示全部楼层 · 发表于 2022-8-9 13:42:40

本帖最后由 aboringman 于 2022-8-9 14:33 编辑

文件名: 点击此安装简体中文语言包.exe
威胁名称: Heur.AdvML.B完整路径: C:\Users\123\Downloads\点击此安装简体中文语言包.exe
____________________________
____________________________
在电脑上
2022/8/9 ( 13:30:15 )
上次使用时间
2022/8/9 ( 13:32:15 )
启动项
否
已启动
否
威胁类型: 启发式病毒。根据恶意软件启发式技术检测威胁。
____________________________
点击此安装简体中文语言包.exe 威胁名称: Heur.AdvML.B
定位
极少用户信任的文件
Norton 社区中有不到 5 名用户使用了此文件。
极新的文件
该文件已在不到 1 周前发行。
高
此文件具有高风险。
____________________________
https://down.wss.show/4malln0/9/01/90104malln0?cdn_sign=1660023056-3-0-2ef65510ff1e2488b162c7e232056099&exp=240&response-content-disposition=attachment; filename="样本0809 TG语言包后门x2.7z"; filename*=utf-8''%E6%A0%B7%E6%9C%AC0809%20TG%E8%AF%AD%E8%A8%80%E5%8C%85%E5%90%8E%E9%97%A8x2.7z
已下载文件从 wss.show
来源: 外部介质
点击此安装简体中文语言包.exe
____________________________
文件操作
文件: C:\Users\123\Downloads\ 点击此安装简体中文语言包.exe 已删除
____________________________
文件指纹 - SHA:
471e406053feb914fc576cb4695050c88d10ad7012dfe8dde7713ce7e625fb0f
文件指纹 - MD5:
a33d9d6b8e759dbcd5511a2b786cfc71

复制代码

放行杀一衍生物

文件名: php-cgi.exe
威胁名称: Heur.AdvML.B完整路径: C:\PHP5433\php-cgi.exe
____________________________
____________________________
在电脑上
2022/8/9 ( 13:49:46 )
上次使用时间
2022/8/9 ( 13:51:46 )
启动项
否
已启动
否
威胁类型: 启发式病毒。根据恶意软件启发式技术检测威胁。
____________________________
php-cgi.exe 威胁名称: Heur.AdvML.B
定位
极少用户信任的文件
Norton 社区中有不到 5 名用户使用了此文件。
极新的文件
该文件已在不到 1 周前发行。
高
此文件具有高风险。
____________________________
来源: 外部介质
源文件:
php-cgi.exe
____________________________
文件操作
文件: C:\PHP5433\ php-cgi.exe 已删除
____________________________
文件指纹 - SHA:
69cbde348be4d9dd508880c33f6fe569cc2da4eb81d98948c1e11c1e60e69cf2
文件指纹 - MD5:
7db4e0f25fdebc403871c68a9774816d

复制代码

显示全部楼层 · 发表于 2022-8-9 14:20:33

本帖最后由 Tom179090 于 2022-8-9 20:41 编辑

名称: HEUR:Backdoor.Win32.Lotok.gen
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: 点击此安装简体中文语言包.exe
对象路径: E:\infected\样本0809 TG语言包后门x2
对象的 MD5: A33D9D6B8E759DBCD5511A2B786CFC71

名称: UDS:Backdoor.Win32.Lotok.igh
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: 点击安装{纸飞机}简体中文语言包.exe
对象路径: E:\infected\样本0809 TG语言包后门x2
对象的 MD5: 2D6E5A9CB00F3CA036EA045C34F4199F

——————

GD
Virus: Gen:Variant.Lazy.231720 (Engine A)

The file was disinfected.

File: 点击此安装简体中文语言包.exe
Directory: E:\infected\样本0809 TG语言包后门x2

另一个双击后：衍生物kill：
Access to the infect file is denied.

File:       C:\PHP5433\php-cgi.exe
Virus:       Gen:Variant.Graftor.784487 (Engine A), Win32.Packed.NoobyProtect.B (Engine B)
Engines:       Engine A: AVA 25.33707, Engine B: GD 27.28382

后触发BEAST
G DATA TOTAL SECURITY has prevented malicious software from running on your system.
The malicious program was identified by BEAST (Behavior Monitoring) as: Verdict.Malware

The following processes were therefore terminated by G DATA for security reasons:
      ----------------------------------------------------------------
      E:\infected\样本0809 TG语言包后门x2\点击安装纸飞机简体中文语言包.exe
      E:\infected\样本0809 TG语言包后门x2\点击安装纸飞机简体中文语言包.exe
      ----------------------------------------------------------------

The following programs responsible were moved to Quarantine by G DATA:
      ----------------------------------------------------------------
      C:\Users\d_pri\AppData\LocalLow\SogouPY\InputStaticstics.dat
      C:\ProgramData\data\UPX.rar
      C:\ProgramData\data\rar.ini
      C:\ProgramData\Microsoft\Program\ziliao.jpg
      ----------------------------------------------------------------

Further information:
Module: FileCloud
File: E:\infected\样本0809 TG语言包后门x2\点击安装纸飞机简体中文语言包.exe
Sha256:
Md5:
Size: 0
Ref: 44cfcae3-3e4e-4075-bf9d-19ba23c278ba

显示全部楼层 · 发表于 2022-8-9 14:47:03

智量

2022-08-09 14:46:30 C:\Users\c i\Desktop\样本0809 TG语言包后门x2\点击此安装简体中文语言包.exe Heur.ML.PE.A
2022-08-09 14:46:25 C:\Users\c i\Desktop\样本0809 TG语言包后门x2\点击安装{纸飞机}简体中文语言包.exe Trojan.Dropper.Generic

复制代码

[病毒样本] TG中文语言包后门x2 0809 vt3/70

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源