Backdoor 1x

wowocock

会在c:\programdata下随机目录下生成网易的白利用mhRCPlayer-dll.dll，用360查杀即可。

GreatMOLA

ESET 执行



Payload_2: http[:]//pnpzvea.cn/wj/1.exe, http[:]//pnpzvea.cn/wj/5938_64.bin

吃瓜群众第123位

卡巴扫描miss KSN未知

kaba666

运行后没发现问题,卡巴主防也没反应,难道反虚拟机?

wowocock

kaba666 发表于 2024-2-29 18:13
运行后没发现问题,卡巴主防也没反应,难道反虚拟机?

重启后，看看进程里有没有programdata 目录下的随机目录，随机名字进程，是不是有mhRCPlayer-dll.dll这个文件。

DisaPDB

补一个衍生物
似乎会去查找explorer（不过不像是恶意的）

1. __int64 sub_180001000()
   
2. {
   
3.   HANDLE v0; // rax
   
4.   void *v1; // rbx
   
5.   DWORD v2; // edi
   
6.   FILE *v3; // rax
   
7.   __int64 result; // rax
   
8.   DWORD v5; // ebp
   
9.   PROCESSENTRY32 pe; // [rsp+20h] [rbp-138h]
   
10. 
    
11.   pe.dwSize = 304;
    
12.   v0 = CreateToolhelp32Snapshot(2u, 0);
    
13.   v1 = v0;
    
14.   if ( v0 == (HANDLE)-1i64 )
    
15.   {
    
16.     v2 = GetLastError();
    
17.     v3 = (FILE *)sub_1800012CC();
    
18.     fprintf(v3 + 2, "Failed to create process snapshot: %d\n", v2);
    
19.     result = 0i64;
    
20.   }
    
21.   else
    
22.   {
    
23.     v5 = 0;
    
24.     if ( Process32First(v0, &pe) )
    
25.     {
    
26.       while ( memcmp("explorer.exe", pe.szExeFile, 0xDui64) )
    
27.       {
    
28.         if ( !Process32Next(v1, &pe) )
    
29.           goto LABEL_8;
    
30.       }
    
31.       v5 = pe.th32ProcessID;
    
32.     }
    
33. LABEL_8:
    
34.     CloseHandle(v1);
    
35.     result = v5;
    
36.   }
    
37.   return result;
    
38. }

复制代码

kaba666

wowocock 发表于 2024-2-29 18:16
重启后，看看进程里有没有programdata 目录下的随机目录，随机名字进程，是不是有mhRCPlayer-dll.dll这个 ...

没发现啊?!

384也7492374

火绒5 扫描+双击 miss
蹲一个火绒6看看

swizzer

384也7492374 发表于 2024-2-29 18:32
火绒5 扫描+双击 miss
蹲一个火绒6看看

手头有火绒6的好像都不太愿意测试主防来着

wwwab

1. 病毒库时间：2024-02-29 18:17
   
2. 开始时间：2024-02-29 19:46
   
3. 总计用时：00:00:01
   
4. 扫描对象：1
   
5. 扫描文件：1
   
6. 发现风险：1
   
7. 已处理风险：0
   
8. 病毒详情：
   
9. 风险路径：C:\Users\Administrator\Downloads\税务注册5938\税务注册5938.exe, 病毒名：Backdoor/Lotok.dc, 病毒ID：e5600442178d8119, 处理结果：暂不处理
   

复制代码