假Winrar安裝檔X1

megakotaro

密碼：infected
推特Malware Hunter Team帳號看到，現在谷歌搜尋廣告都被惡意程式佔領了

假rar網站：hxxps://rar-lab.software/download-index1.html
https://www.virustotal.com/gui/file/6ad9d88cb80c39445c983483e20358540c66452339fd086108f15d4aa384b073/detection

opentip自動分析，已回報卡巴斯基：
https://opentip.kaspersky.com/6AD9D88CB80C39445C983483E20358540C66452339FD086108F15D4AA384B073/results?tab=upload

UDS報了


卡巴斯基回覆：

Dear customer,

Based on the provided information we can suggest you the following solution:

Hello,

The detection will be included in the next update.
HEUR:Trojan.OLE2.Agent.gen
Thank you for your help.

253 號工程師為您服務

您可以回復這封郵件或電話聯系我們。

hsks

https://bbs.kafan.cn/thread-2250501-1-1.html

心醉咖啡

360

846472713

ESET & 360 未报

LeeHS

crowdstrike miss

心心相印

bdts双击blocked

11111111111445

eset扫描miss ELGmiss

UNknownOoo

智量
双击：MISS

biue

aboringman

Avast：0

内存大小检测？这种东西之前出现过。。。。。。（4110MB或以上才能安装，不然会自动终止）

调整到4.5G之后，安装成功进行，完成之后不久触发BS。

1. <ChestId>00000002</ChestId>
   
2.                 <FileTime>1674273486</FileTime>
   
3.                 <OrigFileName>powershell.exe</OrigFileName>
   
4.                 <OrigFolder>C:\Windows\SysWOW64\WindowsPowerShell\v1.0</OrigFolder>
   
5.                 <Comment></Comment>
   
6.                 <Virus>IDP.HELU.PSE34%s_cmd</Virus>
   
7.                 <Category>Vir</Category>
   
8.                 <Restore>yes</Restore>
   
9.                 <TransferTime>1674273486</TransferTime>
   
10.                 <FileSize>80</FileSize>
    
11.                 <Viruses>IDP.HELU.PSE34%s_cmd</Viruses>
    
12.                 <SupportExceptions>yes</SupportExceptions>
    
13.                 <SendToAnalysis>yes</SendToAnalysis>

复制代码

弹窗说已隔离powershell.exe（？？？？？？），给我震惊到了。。。。。。看了下原路径下东西还在，应该只是阻止了。。。。。。