powershell/downloader (2023-08-13)

petr0vic

dght432

类型:木马-virus.vbs.crypt.c
描述:木马是一种伪装成正常文件的恶意软件，会盗取您的帐号、密码等隐私资料。
扫描引擎:QEX引擎
文件路径:D:\360安全浏览器下载\1\1.vbs
文件大小:6.3K (6,456 字节)
文件指纹（MD5）:619390452cbabde5508d170ff91e5e4f
处理建议:隔离文件

心醉咖啡

腾讯电脑管家

吃土豆的小山腰

卡巴
HEUR:Trojan.VBS.Agent.gen

ANY.LNK

微软：机器学习Trojan:Script/Wacatac.H!ml

xjwtzq

BD 扫描双击 miss

祸兮福所倚

swizzer

1. https://d9e1c3dd-1fee-48c1-9089-09a70580408e.usrfiles[.]com/ugd/d9e1c3_971ed01f857d458ab3ec0085ecf8efa4.txt

复制代码

-> .ps1

1. 实时防护在C:\Users\苏敬轩\Desktop\something.ps1上检测到恶意行为Heur.BZC.ZFV.Boxter.973.A2A397DC。未采取任何操作。此项目将由powershell.exe(C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe)进一步处理。 这是AMSI反恶意软件扫描接口检测。

复制代码

aboringman

swizzer 发表于 2023-8-13 15:18
-> .ps1

That's c r a z y

1. 时间        操作        说明        次数
   
2. 2023-08-13 15:44:02        [自动阻止]          修改 系统启动目录        防护 14 次
   
3. 详细描述：
   
4. 进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
   
5. 动作：试图修改
   
6. 路径：C:\Users\Killer\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\kilng.vbs
   
7. 不再提醒(0x64d889c2)
   
8. 防护信息: FD|26, 823|10, -1, -1|||
   
9. 2023-08-13 15:44:02        [已阻止]          修改 系统启动目录        防护 1 次
   
10. 详细描述：
    
11. 进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    
12. 动作：试图修改
    
13. 路径：C:\Users\Killer\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\kilng.vbs
    
14. 防护信息: FD|26, 823|10, 10, -1|CDA48FC75952AD12D99E526D0B6BF70A|36c5d12033b2eaf251bae61c00690ffb17fddc87|
    
15. 2023-08-13 15:44:02        [已阻止]          进程创建        防护 1 次
    
16. 详细描述：
    
17. 进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    
18. 动作：进程创建
    
19. 路径：wscript
    
20. 风险文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    
21. 拦截补充描述：为了您的上网安全，如果您不认识此程序，请阻止此操作。
    
22. 
    
23. 防护信息: AD|1, 243|10, 60, -1||
    
24. 2023-08-13 15:44:01        [已阻止]          进程创建        防护 1 次
    
25. 详细描述：
    
26. 进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    
27. 动作：进程创建
    
28. 路径：wscript
    
29. 风险文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    
30. 拦截补充描述：为了您的上网安全，如果您不认识此程序，请阻止此操作。
    
31. 
    
32. 防护信息: AD|1, 243|10, 60, -1||
    
33. 2023-08-13 15:44:01        [已阻止]          进程创建        防护 1 次
    
34. 详细描述：
    
35. 进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    
36. 动作：进程创建
    
37. 路径：wscript
    
38. 风险文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    
39. 拦截补充描述：为了您的上网安全，如果您不认识此程序，请阻止此操作。
    
40. 
    
41. 防护信息: AD|1, 243|10, 60, -1||
    
42. 2023-08-13 15:44:00        [已阻止]          远程线程注入        防护 1 次
    
43. 详细描述：
    
44. 进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    
45. 动作：远程线程注入
    
46. 路径：C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe (6)
    
47. 拦截补充描述：程序正在进行远程线程注入，将代码藏匿到其他进程来运行，木马通常以此来隐藏自己的恶意行为。如果您不认识此程序，请阻止。
    
48. 
    
49. 防护信息: AD|2, 88|10, 10, -1||
    
50. 2023-08-13 15:44:00        [已阻止]          远程线程注入        防护 1 次
    
51. 详细描述：
    
52. 进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    
53. 动作：远程线程注入
    
54. 路径：C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe (6)
    
55. 拦截补充描述：程序正在进行远程线程注入，将代码藏匿到其他进程来运行，木马通常以此来隐藏自己的恶意行为。如果您不认识此程序，请阻止。
    
56. 
    
57. 防护信息: AD|2, 88|10, 10, -1||
    
58. 2023-08-13 15:44:00        [已阻止]          远程线程注入        防护 1 次
    
59. 详细描述：
    
60. 进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    
61. 动作：远程线程注入
    
62. 路径：C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe (6)
    
63. 拦截补充描述：程序正在进行远程线程注入，将代码藏匿到其他进程来运行，木马通常以此来隐藏自己的恶意行为。如果您不认识此程序，请阻止。
    
64. 
    
65. 防护信息: AD|2, 88|10, 10, -1||
    
66. 2023-08-13 15:44:00        [已阻止]          远程线程注入        防护 1 次
    
67. 详细描述：
    
68. 进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    
69. 动作：远程线程注入
    
70. 路径：C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe (6)
    
71. 拦截补充描述：程序正在进行远程线程注入，将代码藏匿到其他进程来运行，木马通常以此来隐藏自己的恶意行为。如果您不认识此程序，请阻止。
    
72. 
    
73. 防护信息: AD|2, 88|10, 10, -1||
    
74. 2023-08-13 15:44:00        [已阻止]          远程线程注入        防护 1 次
    
75. 详细描述：
    
76. 进程：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    
77. 动作：远程线程注入
    
78. 路径：C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe (6)
    
79. 拦截补充描述：程序正在进行远程线程注入，将代码藏匿到其他进程来运行，木马通常以此来隐藏自己的恶意行为。如果您不认识此程序，请阻止。
    
80. 
    
81. 防护信息: AD|2, 88|10, 10, -1||

复制代码

Then it killed itself (

761773275

SOPHOS

1. “HollowProcess”恶意行为已在 Windows PowerShell 中被阻止

复制代码