#Qakbot

hsks

rundll32.exe  boris_chm.dll,N115

kyuno1

kis 扫描未报

biue

117054487

卡巴 UDS:Trojan-Banker.Win32.Qbot

117054487

avast 没杀本体

aboringman

360：0

执行

1. 2023-02-21 02:17:10        [自动阻止]          进程创建        防护 2 次
   
2. 详细描述：
   
3. 进程：C:\Windows\SysWOW64\rundll32.exe
   
4. 动作：进程创建
   
5. 路径：C:\Program Files (x86)\Internet Explorer\iexplore.exe
   
6. 防护信息: AD|1, 4|30, -1, -1||
   
7. 
   
8. 2023-02-21 02:17:09        [自动阻止]          进程创建        防护 1 次
   
9. 详细描述：
   
10. 进程：C:\Windows\SysWOW64\rundll32.exe
    
11. 动作：进程创建
    
12. 路径：C:\Windows\SysWOW64\msra.exe
    
13. 防护信息: AD|1, 4|30, -1, -1||
    
14. 
    
15. 2023-02-21 02:17:09        [已阻止]          远程线程注入        防护 1 次
    
16. 详细描述：
    
17. 进程：C:\Windows\SysWOW64\rundll32.exe
    
18. 动作：远程线程注入
    
19. 路径：C:\Windows\SysWOW64\msra.exe
    
20. 风险文件：C:\Users\Killer\Desktop\230220-seq3psbd69_pw_infected\boris_chm.dll
    
21. 全部阻止
    
22. 防护信息: AD|2, 88|30, 30, -1||
    
23. 
    
24. 2023-02-21 02:16:56        [已阻止]          远程线程注入        防护 1 次
    
25. 详细描述：
    
26. 进程：C:\Windows\SysWOW64\rundll32.exe
    
27. 动作：远程线程注入
    
28. 路径：C:\Windows\SysWOW64\wermgr.exe
    
29. 风险文件：C:\Users\Killer\Desktop\230220-seq3psbd69_pw_infected\boris_chm.dll
    
30. 防护信息: AD|2, 88|30, 30, -1||
    
31. 
    
32. 2023-02-21 02:16:50        [已阻止]          远程线程注入        防护 1 次
    
33. 详细描述：
    
34. 进程：C:\Windows\SysWOW64\rundll32.exe
    
35. 动作：远程线程注入
    
36. 路径：C:\Windows\SysWOW64\wermgr.exe
    
37. 风险文件：C:\Users\Killer\Desktop\230220-seq3psbd69_pw_infected\boris_chm.dll
    
38. 防护信息: AD|2, 88|30, 30, -1||

复制代码

测诺顿的时候发生了非常严重的测试误差，无法确定是否防御成功，故此不公布诺顿的结果。（由于诺顿严重的干扰了Windows问题报告程序的正常运行）

ESET：执行不久被AMS检测到，提示重启，由于没有持久化所以成功防御。

1. 2023/2/21 4:16:28
   
2. 
   
3. 高级内存扫描程序
   
4. 
   
5. 文件
   
6. 
   
7. 系统内存 > rundll32.exe(5480)
   
8. 
   
9. Win32/Qbot.DM 特洛伊木马 的变量
   
10. 
    
11. 已包含被感染的文件 (下次重新启动后)
    
12. 
    
13. FD56833ACFE5B41FC52202EBF6DFA6CFF1BE6349

复制代码

GDHJDSYDH

MD扫描+运行miss，云检测出了Trojan:Win32/Woreflint.A!cl