样本测试 10X

grantzoo

奇安信扫描KILL9

GreatMOLA

东南大学 发表于 2023-5-11 23:51
Avira SAVAPI 3x

Avira Antivir Pro 1x

莒县小哥

东南大学

Kaspersky Anti-Virus Console Scanner 扫描剩余5x上报回复

Hello,

New malicious software was found in the attached file. Its detection will be included in the next update.
Thank you for your help.

11872971B0ECB77380A07A8A0D45FEB1 - Trojan.Win32.Agentb.lcjn
6CDB9D69054CA2B3FF1CF4F9296364C9 - HEUR:Trojan.OLE2.Alien.gen
7CCECAE2E30DB608D07684E62F52372D - Trojan.Win32.Agentb.lcjm
BC8B987F79DC0C0C093C4806FDE1C1AD - HEUR:Trojan.OLE2.Alien.gen
E72CB866DD195D54D38B21092D0DC7EE - Trojan.Win32.Agentb.lcjo


Best regards, Kirill, Malware Analyst Team Lead
39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com https://securelist.com
https://opentip.kaspersky.com/ - get insights about suspicious files, hashes, URLs, IP addresses or domain names

https://www.virustotal.com/gui/file/21e8b576bfa2ea894a9b693c58265bc94e488e9cbab074fc7549f2c89d4850f4
https://www.virustotal.com/gui/file/2a020304071c979a18f96fc7df9589a269765e689e647af9091b51eda1e58c93 （样本中文件夹压缩）
https://www.virustotal.com/gui/file/84c2d3aeb6af5a0bfc29e3a4c350d23757fe5bf649d20cb3269cfc053658bb6c
https://www.virustotal.com/gui/file/cc67d360aec858fce37a890a6fbb4d126bcf7835aab2d3dbcf02cf1185b79a92
https://www.virustotal.com/gui/file/f0b139e53c85d6cf3db316da1f3c3bb2b7c66a9cb202baec0a4c39d4d1f37610

GreatMOLA

Norton

扫描 3x


\Mohmy\123.jpg - Heur.AdvML.B
WPS-Setup.msi - 压缩的威胁
Lets-kualian.msi - 压缩的威胁


执行

9356d07cbb95ceb59693911a3f30a06ac9d25e75c073f9fa94713436584d16f1.msi：

执行后杀衍生物；10s后DP阻止另一衍生物，15s后SONAR杀，回滚所有操作。

1. 文件名: aipackagechainer.exe
   
2. 威胁名称: SONAR.Dropper完整路径: 不可用
   
3. 
   
4. ____________________________
   
5. 
   
6. ____________________________
   
7. 
   
8. 
   
9. 在电脑上
   
10. 2023/5/12 ( 13:10:02 )
    
11. 
    
12. 上次使用时间
    
13. 2023/5/12 ( 13:10:02 )
    
14. 
    
15. 启动项
    
16. 否
    
17. 已启动
    
18. 是
    
19. 行为主动防护监视电脑上的可疑程序活动。
    
20. 
    
21. ____________________________
    
22. 
    
23. 
    
24. aipackagechainer.exe威胁名称: SONAR.Dropper
    
25. 定位
    
26. 
    
27. 
    
28. 极少用户信任的文件
    
29. Norton 社区中有不到 5 名用户使用了此文件。
    
30. 
    
31. 极新的文件
    
32. 该文件已在不到 1 周前发行。
    
33. 
    
34. 高
    
35. 此文件具有高风险。
    
36. 
    
37. 
    
38. ____________________________
    
39. 
    
40. 
    
41. 来源: 外部介质
    
42. 
    
43. 源文件:
    
44. msiexec.exe
    
45. 
    
46. 创建的文件:
    
47. aipackagechainer.exe
    
48. 
    
49. ____________________________
    
50. 
    
51. 文件操作
    
52. 
    
53. 文件: c:\Users\test-pc02\AppData\Roaming\shedll\5-8shedll\prerequisites\aipackagechainer.exe威胁已删除
    
54. 
    
55. ____________________________
    
56. 
    
57. 注册表操作
    
58. 
    
59. 注册表更改: HKEY_USERS\.DEFAULT\InterbootContext, 注册表配置单元: 64 位已修复
    
60. 
    
61. ____________________________
    
62. 
    
63. 网络操作
    
64. 
    
65. 事件: 已触发自动防护 (执行者 c:\users\test-pc02\appdata\roaming\shedll\5-8shedll\prerequisites\aipackagechainer.exe, PID:3248)未采取操作
    
66. 
    
67. ____________________________
    
68. 
    
69. 系统设置操作
    
70. 
    
71. 事件: 进程启动 (执行者 c:\users\test-pc02\appdata\roaming\shedll\5-8shedll\prerequisites\aipackagechainer.exe, PID:3248)未采取操作
    
72. 
    
73. (执行者 c:\users\test-pc02\appdata\roaming\shedll\5-8shedll\prerequisites\aipackagechainer.exe, PID:3248)未采取操作
    
74. 
    
75. 事件: 进程启动: c:\users\test-pc02\appdata\roaming\shedll\5-8shedll\prerequisites\aipackagechainer.exe, PID:3248 (执行者 c:\users\test-pc02\appdata\roaming\shedll\5-8shedll\prerequisites\aipackagechainer.exe, PID:3248)未采取操作
    
76. 
    
77. ____________________________
    
78. 
    
79. 
    
80. 文件指纹 - SHA:
    
81. 不可用
    
82. 文件指纹 - MD5:
    
83. 不可用
    

复制代码

   

kuailian.msi：

安装后防火墙阻止外联（原因：可疑网络活动；自动操作）



点击安装-纸飞机-简体中文语言包.msi：

执行，杀衍生物，运行失败。



点击安装-纸飞机-简体中文语言包1.msi：

同上。



录屏大师：视频实时录制47秒-87634.msi：

miss

一键解除聊天限制发消息.msi：

同“点击安装-纸飞机-简体中文语言包.msi”。



一键解除聊天限制发消息1.msi：

同“点击安装-纸飞机-简体中文语言包.msi”。

chx818

k7扫描全miss，但好像每个都能做到双击杀


好吧实际上只能杀掉部分衍生物，k7这防御还是不行

AEht

高速分流：https://wwwc.lanzoub.com/ih8Np0vgeh1a


卡巴扫描：8x可执行，一个dll，一个jpg？？剩余可执行3x
双击“Lets-kualian.msi”套娃一个安装包，
套娃安装包安装后是一个软件捆绑病毒。
卡巴自动两个，追溯到了安装包PDM，附图片：

双击“kuailian.msi”同样套娃安装包，
3分钟卡巴过，
任务管理器见进程，reported

剩余1x白加黑的白文件，黑已经被杀。
there are virus file's VT link:
https://www.virustotal.com/gui/file/84c2d3aeb6af5a0bfc29e3a4c350d23757fe5bf649d20cb3269cfc053658bb6c?nocache=1

https://www.virustotal.com/gui/file/f0b139e53c85d6cf3db316da1f3c3bb2b7c66a9cb202baec0a4c39d4d1f37610?nocache=1

15717522768

BD: 50%
360: 70%
BD&360:100%

mozhiwei

金山毒霸kill 5x