假火绒+假WPS

c/mm

panda Kill 1X

1. 事件                 更多详细信息                                                                                                             日期/时间             状态            
   
2. -----------------------------------------------------------------------------------------------------------------------------------------------------------------------
   
3. 检测到 木马 Trj/Chgt.AD 位置：C:\Users\Administrator\AppData\Roaming\p130\HKeyboard.dll                                                       2023/9/13/周三 9:03 重新启动计算机后会删除它。
   
4. 扫描                 正在扫描：C:\Users\Administrator\Desktop\FakeApps\5779-10.11-WPS.exe|C:\Users\Administrator\Desktop\FakeApps\houron.exe 2023/9/13/周三 9:02 已完成           
   
5. 扫描                 正在扫描：C:\Users\Administrator\Desktop\FakeApps\5779-10.11-WPS.exe|C:\Users\Administrator\Desktop\FakeApps\houron.exe 2023/9/13/周三 9:02 已启动         

复制代码

MISS








结束这个进程和上次样本类似直接蓝屏重启

骨灰级小白

xsec kill 1X，剩余1X，换NPE也扫描不出来。实机双击剩下的，默认入沙。

UNknownOoo

火绒
扫描：MISS ALL
双击：寄


假火绒：特征杀一衍生物，但未阻断外联
病毒名称：TrojanSpy/Keylogger.bu
病毒ID：9C1D1F7BAA31C5AA
病毒路径：C:\Users\Administrator\AppData\Roaming\p130\HKeyboard.dll
操作类型：修改
操作结果：已处理，删除文件


假WPS：拉黑5dll，拦截关闭UAC操作，放行后绕过火绒添加服务，未阻断外联

hansyu

McAfee
houron.exe  -  ti!50AC4B97F6AE

假WPS 双击安装
阻止TDPCONTROL.dll  -  ti!0E01C85CAE8C
后Haloonoroff.exe无法正常运行。
手动扫描衍生物文件夹
Case_Malaysia.dll  -  Trojan:Win/Generic.AOE
bpchelper.dll  -  ti!E2B2DCAB6997
Case_Belarus.dll  -  Trojan:Win/Generic.AOE
AAR.dll  -  PUP:Win/Flystudio.PU

沧桑浪子

好奇安装后是什么样子？
是带广告吗？

18qaz

s1过扫描，fake wps运行后报，fake huorong 过运行

swizzer

18qaz 发表于 2023-9-13 16:36
s1过扫描，fake wps运行后报，fake huorong 过运行

Fake火绒的衍生物是会被侦测的，你那里是不是没运行成功？

1.   Name: HKeyboard.dll
   
2.   Path: \Device\HarddiskVolume11\Quarantine\houron\p1301\HKeyboard.dll
   
3.   SHA1: 131bb40a7b1f5291717efec4b56a37252b7e6336
   
4.   Initiated By: Agent Policy
   
5.   Engine: SentinelOne Cloud
   
6.   Detection type: Static
   
7.   Classification: Malware
   
8.   File Size: 62.23 KB

复制代码

衍生物执行也会被Behavioral AI侦测

莒县小哥

117054487

best 依旧是重启后miss fake wps

pobun

火绒还有假?