#Remcos #cmd 建议双击测试

t0kenzero

先上VT(4/60)
S1 Miss

BEST

1. Advanced Threat Control has blocked a process that has been injected to run malicious code.Process path: C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe. Threat name: AI:Lore.45841.A3EAA0A91F.

复制代码

样本地址
https://wormhole.app/b5Enn#EVKhQU183IYyj-3vvm_bjw

dght432

Fadouse

ESET kill
2/16/2024 1:05:44 AM;文件系统实时防护;
C:\Users\ASUS\AppData\Local\Temp\BNZ.65ce444b1a6dba5\lods.cmd  BAT/Agent.QAQ 特洛伊木马;
已通过删除清除;
LAPTOP\ASUS;
在通过应用程序创建的新文件上发生了事件: C:\Program Files\Bandizip\Bandizip.exe

z614606517

江民华为双击无反应 sep安全

UNknownOoo

火绒
扫描：MISS
运行：MISS

1. 防护项目：隐藏执行PowerShell
   
2. 执行文件：C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
   
3. 执行命令行："C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -w hidden
   
4. 操作结果：已允许
   
5. 进程ID：2004
   
6. 操作进程：C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
   
7. 操作进程命令行：C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
   
8. 父进程ID：5288
   
9. 父进程：C:\Windows\System32\cmd.exe
   
10. 父进程命令行：C:\Windows\system32\cmd.exe  /K "C:\Users\Administrator\Desktop\lods.cmd"  
    
11. 
    
12. 
    
13. 防护项目：系统任务目录
    
14. 目标文件：C:\Windows\System32\Tasks\OneNote 89398
    
15. 操作结果：已允许
    
16. 进程ID：1628
    
17. 操作进程：C:\Windows\System32\svchost.exe
    
18. 操作进程命令行：C:\Windows\system32\svchost.exe -k netsvcs -p -s Schedule
    
19. 父进程ID：884
    
20. 父进程：C:\Windows\System32\services.exe
    
21. 父进程命令行：C:\Windows\system32\services.exe
    
22. 
    
23. 
    
24. 防护项目：隐藏执行PowerShell
    
25. 执行文件：C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
    
26. 执行命令行："C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -w hidden
    
27. 操作结果：已允许
    
28. 进程ID：6096
    
29. 操作进程：C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
    
30. 操作进程命令行：C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
    
31. 父进程ID：9308
    
32. 父进程：C:\Windows\SysWOW64\cmd.exe
    
33. 父进程命令行：C:\Windows\system32\cmd.exe  /K "C:\Users\Administrator\AppData\Roaming\Network89398Man.cmd"
    
34. 
    
35. 
    
36. 协议：TCP
    
37. 远程地址：104.26.13.205:80
    
38. 本地地址：192.168.10.128:49792
    
39. 网络操作：联出
    
40. 操作结果：已允许
    
41. 进程ID：6096
    
42. 操作进程：C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe

复制代码

dght432

360目前已拉黑

user114514

蜘蛛应该有反应（15时整点蜘蛛入库），智量阻止

GreatMOLA

Avira Sentry (AMSI)

呵呵大神001

CS静态miss
马上100%（W）

GreatMOLA

z614606517 发表于 2024-2-16 01:13
江民华为双击无反应 sep安全

sep拉黑