360报backdoor

UNknownOoo

火绒
扫描：拉黑

1. 病毒详情：
   
2. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\局域网查看工具(LanSee) V2.01 绿色版.exe, 病毒名：Trojan/Generic!BEAA3A1C5BC9C90C, 病毒ID：beaa3a1c5bc9c90c, 处理结果：已处理，删除文件
   

复制代码

biue

liu浪的人

当下还是算了吧，Vercary的安全DNS直接拉黑了网站

wwwab

不是误报，这个样本运行之后就会把自身复制到C:\Windows\LanSee.exe和%temp%下然后再启动，随后会外链到http://hao.hp999888777.win/k12.txt和http://hao.[过滤]pk.com/k12.txt这两个地址下面，是个废弃的C2早就已经挂了的下载者木马和后门病毒——“死虫子”

这个样本曾经一模一样出现在吾爱破解论坛软件区，后来因为报毒问题 一分析 举报之后 他们处理掉的（因为时间太过久远，当时的情况已经找不到了）

这个样本，我在2021年8月份上报过火绒和卡巴斯基，给火绒、智量和卡巴斯基确认过，以图为证：

（别问为什么是"After a detailed analysis"，因为当时我给三家厂商都发过去了，一开始这个样本卡巴斯基原先是报毒的，后来没过几分钟回信说解除了，第一位分析师当时没有怎么仔细看就以为是正常的tools，然后智量官方分析结果出来是非误报——“死虫子”这个形象的比喻就是智量官人说出来的，然后我也仔细看了一下发现样本行为确实明显不对劲，然后我再让卡巴斯基他们睁大眼睛看清楚，然后他们After a detailed analysis就又入库了，再然后火绒那边也确认样本存在恶意行为升级后查杀了。所以这也是为什么我后面说不明确是否为误报的情况下暂时先不要以误报来上报的原因）

心醉咖啡

金山毒霸

苍井空

咖啡

郢都离人

wwwab 发表于 2023-11-14 22:41
不是误报，这个样本运行之后就会把自身复制到C:\Windows\LanSee.exe和%temp%下然后再启动，随后会外链到htt ...

非常感谢大佬的分析~~

第三炮兵

虽然后知后觉，我发一下奇安信吧