大佬们，有一个疑似远控的可以文件帮忙看下

Hyperionyh

现象是自动在微信群发消息，消息为一个下载链接，发送消息之后退群。

下载链接
http://47.242.24.200/%E8%B5%84%E6%96%992190.com


微步连接
https://s.threatbook.com/report/ ... 987748b10b1235a6da4

Hyperionyh

看下这个网址   http://47.242.24.200/

嘿嘿不能说

KIS：1

1. 事件: 检测到恶意对象
   
2. 组件: 病毒扫描
   
3. 结果: 检测到
   
4. 结果说明: 检测到
   
5. 类型: 木马
   
6. 名称: HEUR:Backdoor.Win64.nimpl.a
   
7. 精确度: 启发式分析
   
8. 威胁级别: 高
   
9. 对象类型: 文件
   
10. 对象名称: 如果无法打开请解压所有文件后再打开
    
11. 对象路径: C:\Users\Killer\Desktop\测试\资料解压查看.zip//
    
12. MD5: 45061336E80E44D47FC63BDA78A3A3BD
    
13. 原因: 专家分析
    
14. 数据库发布日期: 2023/11/29 2:18:00

复制代码

1. 今天，2023/12/20 11:15:01        检测到恶意对象        资料2190.exe        资料2190.exe        C:\Users\Killer\Desktop\测试        8688                        检测到: PDM:Exploit.Win32.Generic.nblk        检测到        PDM:Exploit.Win32.Generic.nblk        木马        高        确切        资料2190.exe        资料2190.exe        c:\users\killer\desktop\测试        进程        数据库
   
2. 今天，2023/12/20 11:15:01        检测到恶意对象        资料2190.exe        资料2190.exe        C:\Users\Killer\Desktop\测试        8688                        检测到: PDM:Exploit.Win32.Generic        检测到        PDM:Exploit.Win32.Generic        木马        高        确切        资料2190.exe        资料2190.exe        c:\users\killer\desktop\测试        进程        数据库

复制代码

内容发生了变化，现在只剩下一个资料4200.exe

金山：

t0kenzero

样本留个归档
https://cloud.rhinelab.io/s/LwFp

DI 都杀了

GDHJDSYDH

EIS+KFA扫描miss，VT的杀毒引擎基本上是机学报毒，沙箱内双击运行过了一会儿程序崩溃，WFC提供的Windows防火墙日志里没有任何关于此程序进行外联的尝试（即便Windows防火墙处于非活动状态，WFC依旧记录着程序出入站连接的日志）；Zip文件被EIS下载杀

784696777

华为杀“资料2190.exe”
卡巴杀压缩包内“如果无法打开请解压所有文件后再打开”

UNknownOoo

火绒
扫描：MISS ALL

似乎是同源的：https://bbs.kafan.cn/thread-2264053-1-1.html

DisaPDB

360杀zip内的黑侧载
那个资料2190.exe自退了，应该是白程序？

biue

z614606517

784696777 发表于 2023-12-20 11:32
华为杀“资料2190.exe”
卡巴杀压缩包内“如果无法打开请解压所有文件后再打开”

你的华为杀了 为啥我的双击 扫描都没动静