FakeAPP 1X

hsks

https://pan.huang1111.cn/s/W55ku3

电脑的Aero莫名其妙消失了几个月突然回来了（

秋日之殇

卡巴PDM

事件: 检测到恶意对象
应用程序: De-elevation tool
用户: DESKTOP-DQJ0HTT\lybing
用户类型: 发起者
组件: 系统监控
结果说明: 检测到
类型: 木马
名称: PDM:Exploit.Win32.Generic
威胁级别: 高
对象类型: 进程
对象路径: C:\Users\lybing\AppData\Roaming\MonKeyDu\WeiChat
对象名称: DeElevate.exe
原因: 行为分析
数据库发布日期: 今天，2023/10/28 18:45:00
MD5: 629B6671CED1F1992D0F331B0DC97862

biue

UNknownOoo

火绒
扫描：MISS
双击：MISS

1. 防护项目：启动项
   
2. 操作类型：修改
   
3. 数据内容："C:\Users\Administrator\AppData\Roaming\MonKeyDu\WeiChat\DeElevate.exe"
   
4. 目标注册表：HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\x7HzBx
   
5. 操作结果：已阻止
   
6. 
   
7. 
   
8. 协议：TCP
   
9. 远程地址：103.96.140.53:8080
   
10. 本地地址：192.168.10.128:49705
    
11. 网络操作：联出
    
12. 操作结果：已允许
    
13. 
    
14. 进程ID：3980
    
15. 操作进程：C:\Windows\SysWOW64\SyncHost.exe

复制代码

GreatMOLA

Checkpoint
UDS

心醉咖啡

金山毒霸扫描miss

骨灰级小白

卡巴解压

t0kenzero

DI KILL




Cylance Optics给杀的LOL



Elastic



360 安装包/衍生物扫描MISS 执行有提醒

1. 扫描引擎:360云查杀引擎（本地木马库）  360启发式引擎  QEX脚本查杀引擎
   
2.              QVM Ⅱ人工智能引擎 鲲鹏引擎  
   
3. 扫描文件数: 4
   
4. 安全的文件数: 4
   
5. 发现安全威胁: 0
   
6. 已处理安全威胁: 0
   
7. 扫描内容
   
8. C:\Users\RhineLab\AppData\Roaming\MonKeyDu\WeiChat\DeElevate.exe
   
9. C:\Users\RhineLab\AppData\Roaming\MonKeyDu\WeiChat\DeElevator.dll
   
10. C:\Users\RhineLab\AppData\Roaming\MonKeyDu\WeiChat\lo.png
    
11. C:\Users\RhineLab\AppData\Roaming\MonKeyDu\WeiChat\log.dll
    
12. 
    
13. 
    
14. 白名单设置
    
15. C:\Program Files\SystemInformer\peview.exe 17886c1e9a87402526661373fc0cba9d
    
16. 
    
17. 
    
18. 扫描结果
    
19. 未发现安全威胁
    

复制代码

华为乾坤EDR MISS
有点没搞明白为什么日志里有Alert 但是云端是看不到的。

1. [2023-10-29 00:17:40.698][Info]        [5204] [GRAPH THREAT ROOT]: [filePath] C:\Users\RhineLab\AppData\Roaming\MonKeyDu\WeiChat\DeElevate.exe, [rootType] EMPTY, [hitRule] TN0280
   
2. [2023-10-29 00:17:40.698][Info]        [5204] [HIPS ALERT]: Push, [ALERT INFO]: [threat_num]:TN0280, [severity]:3, [confidence_level]:75, [attack_count]:1, [ori_evt_count]:1, [disposal_count]:0
   
3. [2023-10-29 00:17:40.698][Info]        [5204] [HIPS ATTACK EVIDENCE]: [REG INFO] [operation_type]:102, [pid]:5180, [process_name]:DeElevate.exe, [file_path]:C:\Users\RhineLab\AppData\Roaming\MonKeyDu\WeiChat\DeElevate.exe, [parent_pid]:3404, [parent_name]:msiexec.exe, [path]:\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\x7HzBx, [value]:"C:\Users\RhineLab\AppData\Roaming\MonKeyDu\WeiChat\DeElevate.exe"
   
4. [2023-10-29 00:17:40.698][Info]        [5204] [HIPS PERF ANALYSE]: [TIME CONSUME]:4(ms), [BYTE SIZE]:558

复制代码

km_xyx

ESET Win32/ShellcodeRunner.GO 特洛伊木马 的变量