eset疯狂报pup

Shake2333

MES 23X

hiduwHUE

kis kill 19

火绒工程师

您好，已收到您提供的信息，我们分析确认看下，感谢反馈~

wwwab

“万能”系列的adware

知道火绒为什么不报了

因为这家公司改换用了个数字签名

从他们官网下载的“万能五笔输入法”，签名者为“Shanghai Oriental Webcasting Co. Ltd.”，即“上海嵩恒网络科技股份有限公司”，如下图所示：


从softcnkiller的流氓软件数字签名黑名单中可以找到如下信息：
Shanghai Oriental Webcasting                        东方输入法、万能五笔、万能看图王、万能压缩、万能游戏盒、花购助手、兔几直播、焦糖壁纸、香草wifi、快速网游加速器、万能PDF阅读器

而本次的样本，数字签名签名者为“Shanghai XuSong investment partnership Enterprise(Limited)”，即“上海旭嵩企业管理合伙企业（有限合伙）”，如下图所示：


经过查询该企业为前者“上海嵩恒网络科技股份有限公司（Shanghai Oriental Webcasting Co. Ltd.）”的股东之一，持股比例2.2781%，主要经营场所写是写在上海市崇明区某地，最新年报地址（2021年报）却是在上海市浦东新区某地【与前者“上海嵩恒网络科技股份有限公司（Shanghai Oriental Webcasting Co. Ltd.）”最新年报地址（2021年报）所在地完全一致】，如下图所示：


再经过对前者“上海嵩恒网络科技股份有限公司（Shanghai Oriental Webcasting Co. Ltd.）”股东信息列表的查阅，发现此类“合伙企业（有限合伙）”非常非常之多，不仅此一家，如下图所示：


后者“上海旭嵩企业管理合伙企业（有限合伙）（Shanghai XuSong investment partnership Enterprise(Limited)）”工商登记合伙人就高达了42人，如下图所示：

wwwab

火绒工程师 发表于 2022-8-12 09:35
您好，已收到您提供的信息，我们分析确认看下，感谢反馈~

从softcnkiller的流氓软件数字签名黑名单中还可以找到如下信息：
Shanghai XuSong investment partnership Enterprise        高速下载器

“布丁”系列和“万能”系列的adware，都有这种流氓记事本的图标和特定的注册表，如下图所示：


（我个人认为第一种图标是目前而言最常见的）

火绒什么时候可以通杀

pal家族

wwwab 发表于 2022-8-12 09:52
从softcnkiller的流氓软件数字签名黑名单中还可以找到如下信息：
Shanghai XuSong investment partnersh ...

softkiller太厉害啦！
把作者拉来卡饭呀

pal家族

wwwab 发表于 2022-8-12 09:52
从softcnkiller的流氓软件数字签名黑名单中还可以找到如下信息：
Shanghai XuSong investment partnersh ...

所以火绒之前是怎么查杀这玩意的。。。。
国外杀软都可以通杀

wwwab

pal家族 发表于 2022-8-12 09:58
softkiller太厉害啦！
把作者拉来卡饭呀

作者不就在卡饭吗

wwwab

pal家族 发表于 2022-8-12 09:59
所以火绒之前是怎么查杀这玩意的。。。。
国外杀软都可以通杀

所以根据softcnkiller的记录

之前“Shanghai Oriental Webcasting Co. Ltd.”用作“万能”系列adware；我印象里火绒之前可以查杀，而“Shanghai XuSong investment partnership Enterprise(Limited)”用作下载站高速下载器，火绒针对没有病毒（指Virus/Trojan/RootKit）的下载站高速下载器不进行报毒只做访问控制-程序执行控制-下载站高速下载器拦截掉阻止运行（需要手动开启）

而本次的样本，该“Shanghai XuSong investment partnership Enterprise(Limited)”数字签名首次真实运用到了“万能”系列adware，我个人认为可能是有点儿猝不及防，一般的话国外杀软可能是要么不靠签名靠特征靠启发，要么就是因为之前流传出来的同签名下载站高速下载器就直接提前整个通杀掉了吧

火绒工程师

wwwab 发表于 2022-8-12 09:52
从softcnkiller的流氓软件数字签名黑名单中还可以找到如下信息：
Shanghai XuSong investment partnersh ...

我们确定下给您答复，感谢您的反馈~