17X（12.21）

UNknownOoo

https://wwjw.lanzouq.com/iVRhs1ilc5oh

快摸，再不摸C2就要寄了（指刚刚过滤完一遍样本后C2又寄了两个）

hhhq316

蜘蛛


EMSI 3

YECGAA

avast 5X

UNknownOoo

火绒
扫描：6X

1. 扫描文件：17
   
2. 发现风险：6
   
3. 已处理风险：0
   
4. 病毒详情：
   
5. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\17X\shellcodeLoader1.exe, 病毒名：Trojan/ShellLoader.dk, 病毒ID：2b833a6559694c8c, 处理结果：暂不处理
   
6. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\17X\P8抖音快手网红_#周丽珊_#周立珊完整版.exe, 病毒名：HVM:TrojanDownloader/Maloader.e, 病毒ID：6ca9aa2a58d08e33, 处理结果：暂不处理
   
7. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\17X\企业名单.exe, 病毒名：TrojanDownloader/BAT.Lotok.a, 病毒ID：bd4f3e7084452aee, 处理结果：暂不处理
   
8. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\17X\2023新发布-财会人员薪资补贴调整新政策所需材料_解压密码123.exe, 病毒名：Backdoor/Lotok.v, 病毒ID：530b93794ddd6c12, 处理结果：暂不处理
   
9. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\17X\2023年12月新发布-财会人员薪资补贴调整新政策所需材料.exe, 病毒名：Backdoor/Lotok.v, 病毒ID：530b93794ddd6c12, 处理结果：暂不处理
   
10. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\17X\PYIShellcodeLoader.exe, 病毒名：Backdoor/Python.CobaltStrike.g, 病毒ID：e4033901ea837dd2, 处理结果：暂不处理

复制代码

X-Sec
扫描：10X

1. ---------------------
   
2. 2023/12/21 18:12:20 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\17X\2023新发布-财会人员薪资补贴调整新政策所需材料_解压密码123.exe -- [rame-cloud] Downloader.Agent!8.B23
   
3. 2023/12/21 18:12:21 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\17X\2023.12月年税务稽查处罚名单+（电脑版+请务外泄).exe -- [xave-cloud] Trojan.Generic
   
4. 2023/12/21 18:12:21 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\17X\PYIShellcodeLoader.exe -- [rame-classic] Backdoor.CobaltStrike/PYC!1.E9C5
   
5. 2023/12/21 18:12:22 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\17X\shellcodeLoader1.exe -- [xave-cloud] Trojan.Generic
   
6. 2023/12/21 18:12:23 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\17X\[可能的环境检测]Word.exe -- [xave-cloud] Trojan.Generic
   
7. 2023/12/21 18:12:24 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\17X\企业名单.exe -- [xave-cloud] Trojan.Generic
   
8. 2023/12/21 18:12:25 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\17X\电子[过滤].msi -- [xave-cloud] Trojan.Generic
   
9. 2023/12/21 18:12:25 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\17X\税务稽查.msi -- [xave-cloud] Trojan.Generic
   
10. 2023/12/21 18:12:26 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\17X\金山办公WPS业务系统异常报错信息报告-20231221.exe -- [rame-cloud] Trojan.Agent!8.B1E
    
11. 2023/12/21 18:12:26 Threat Detected: C:\Users\UnknownOoo\Downloads\Compressed\17X\资料3.exe -- [xave-cloud] Trojan.Generic

复制代码

华为乾坤
扫描：MISS ALL

DisaPDB

360 13x
剩余

开手动挡双击
setup.exe 拦截衍生物释放

放行后loader瞬间被杀

报错截图.exe 报错截图（）

电子[过滤].msi
拦截持久化，进程被结束

开核晶后拦截注入

资料11.exe 寄
合计16/17

784696777

我爱你啊啊啊

784696777 发表于 2023-12-21 18:49

卡巴双击下

嘿嘿不能说

天守：



P8抖音快手网红_#周丽珊_#周立珊完整版.exe：





PYIShellcodeLoader.exe：



Services.exe：



报错截图.exe：虚假报错弹窗，但牡蛎大





电子[过滤].msi：寄



企业名单.exe：



税务稽查.msi：yyds换了Shellcode Loader，但也牡蛎大





资料3.exe：杀1衍生物，内存攻击防护阻止白程序启动，之后因为黑dll被击杀而无法复发





总：16

失败：1

KIS：

1. 今天，2023/12/21 19:31:58        C:\Users\Killer\Desktop\17X\2023年12月新发布-财会人员薪资补贴调整新政策所需材料.exe        已创建备份副本        对象的备份副本已创建        UDS:Backdoor.Win32.Lotok.tcu                文件        C:\Users\Killer\Desktop\17X        2023年12月新发布-财会人员薪资补贴调整新政策所需材料.exe        已创建备份副本        木马        高        确切        
   
2. 今天，2023/12/21 19:31:56        C:\Users\Killer\Desktop\17X\税务稽查.msi        已创建备份副本        对象的备份副本已创建        HEUR:Trojan.Win32.Cobalt.gen                文件        C:\Users\Killer\Desktop\17X        税务稽查.msi        已创建备份副本        木马        高        启发式分析                                                                                       
   
3. 今天，2023/12/21 19:30:35        C:\Users\Killer\Desktop\17X\金山办公WPS业务系统异常报错信息报告-20231221.exe        已创建备份副本        对象的备份副本已创建        UDS:Trojan.Win32.Cobalt.syf                文件        C:\Users\Killer\Desktop\17X        金山办公WPS业务系统异常报错信息报告-20231221.exe        已创建备份副本        木马        高        确切        
   
4. 今天，2023/12/21 19:30:32        C:\Users\Killer\Desktop\17X\资料11.exe        已创建备份副本        对象的备份副本已创建        UDS:Backdoor.Win32.Farfli                文件        C:\Users\Killer\Desktop\17X        资料11.exe        已创建备份副本        木马        高        确切        
   
5. 今天，2023/12/21 19:30:29        C:\Users\Killer\Desktop\17X\setup.exe        已创建备份副本        对象的备份副本已创建        UDS:Backdoor.Win32.Lotok                文件        C:\Users\Killer\Desktop\17X        setup.exe        已创建备份副本        木马        高        确切        
   
6. 今天，2023/12/21 19:30:27        C:\Users\Killer\Desktop\17X\PYIShellcodeLoader.exe        已创建备份副本        对象的备份副本已创建        UDS:Trojan.Win32.Cobalt                文件        C:\Users\Killer\Desktop\17X        PYIShellcodeLoader.exe        已创建备份副本        木马        高        确切        
   
7. 今天，2023/12/21 19:30:10        C:\Users\Killer\Desktop\17X\Services.exe        已创建备份副本        对象的备份副本已创建        UDS:Trojan.Win64.Donut                文件        C:\Users\Killer\Desktop\17X        Services.exe        已创建备份副本        木马        高        确切        
   
8. 今天，2023/12/21 19:28:47        C:\Users\Killer\Desktop\17X\shellcodeLoader1.exe        已创建备份副本        对象的备份副本已创建        HEUR:Trojan.Win32.Generic                文件        C:\Users\Killer\Desktop\17X        shellcodeLoader1.exe        已创建备份副本        木马        高        不确切        
   
9. 今天，2023/12/21 19:28:44        C:\Users\Killer\Desktop\17X\资料3.exe        已创建备份副本        对象的备份副本已创建        UDS:Backdoor.Win32.Farfli                文件        C:\Users\Killer\Desktop\17X        资料3.exe        已创建备份副本        木马        高        确切        
   
10. 今天，2023/12/21 19:28:43        C:\Users\Killer\Desktop\17X\企业名单.exe        已创建备份副本        对象的备份副本已创建        UDS:Backdoor.Win32.Lotok                文件        C:\Users\Killer\Desktop\17X        企业名单.exe        已创建备份副本        木马        高        确切        
    
11. 今天，2023/12/21 19:28:39        C:\Users\Killer\Desktop\17X\2023新发布-财会人员薪资补贴调整新政策所需材料_解压密码123.exe        已创建备份副本        对象的备份副本已创建        UDS:Backdoor.Win32.Lotok.tcs                文件        C:\Users\Killer\Desktop\17X        2023新发布-财会人员薪资补贴调整新政策所需材料_解压密码123.exe        已创建备份副本        木马        高        确切        
    
12. 今天，2023/12/21 19:28:38        C:\Users\Killer\Desktop\17X\P8抖音快手网红_#周丽珊_#周立珊完整版.exe        已创建备份副本        对象的备份副本已创建        UDS:Backdoor.Win32.Agent.myutaf                文件        C:\Users\Killer\Desktop\17X        P8抖音快手网红_#周丽珊_#周立珊完整版.exe        已创建备份副本        木马        高        确切        
    
13. 今天，2023/12/21 19:28:37        C:\Users\Killer\Desktop\17X\12月新政财会人员薪资补贴调整新政策所需材料.exe        已创建备份副本        对象的备份副本已创建        UDS:Backdoor.Win32.Lotok.tcq                文件        C:\Users\Killer\Desktop\17X        12月新政财会人员薪资补贴调整新政策所需材料.exe        已创建备份副本        木马        高        确切        
    
14. 今天，2023/12/21 19:28:37        C:\Users\Killer\Desktop\17X\2023.12月年税务稽查处罚名单+（电脑版+请务外泄).exe        已创建备份副本        对象的备份副本已创建        UDS:Trojan.MSIL.DInvoke.gen                文件        C:\Users\Killer\Desktop\17X        2023.12月年税务稽查处罚名单+（电脑版+请务外泄).exe        已创建备份副本        木马        高        确切

复制代码

报错截图.exe：连上了C2但一段时间后自退？（可能是发现是虚拟机了（悲）），全程卡巴无反应



电子[过滤].msi：白程序启动，卡巴毫无反应，手动快速扫描后内存中发现威胁并清除，白程序进程被终止（ 重启后还会有惊喜，嘻嘻嘻嘻（ ）

1. 事件: 对象已清除
   
2. 组件: 病毒扫描
   
3. 结果: 已清除
   
4. 结果说明: 已清除
   
5. 类型: 木马
   
6. 名称: MEM:Trojan.Win32.SEPEH.gen
   
7. 精确度: 确切
   
8. 威胁级别: 高
   
9. 对象类型: 文件
   
10. 对象名称: System Memory

复制代码

[可能的环境检测]Word.exe：跳过

z614606517

华为企业版 虽然没检测出来几个东西但是这功能看着就好