FakeAPP 12X

hsks

https://wormhole.app/q49Y5#r3d4HcjQZA1ijl7Zr-1Y1Q
https://f.ws59.cn/f/eckxbx5nkh9
https://share.weiyun.com/Z9W8Z6w7
https://www.123pan.com/s/FJUmjv-FXqN.html
有些是相同套路的，就当做样本是不同hash放进去了

dght432

好大的包

莒县小哥

心醉咖啡

火绒5

西风萧雨

360 KILL 2X  

1073328164

菜狗子迈克菲 KILL 1X

1094947421

华为1x

腾讯0x

UNknownOoo

火绒
扫描：9x（奇怪的处理逻辑，手动删除报毒文件后剩余7枚）

1. 总计用时：00:00:31
   
2. 扫描对象：32624
   
3. 扫描文件：12
   
4. 发现风险：9
   
5. 已处理风险：0
   
6. 病毒详情：
   
7. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\6.13\telegram-TG-zw_5.0.8.exe, 病毒名：Backdoor/CobaltStrike.cx, 病毒ID：a7e13c056b7d4c50, 处理结果：暂不处理
   
8. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\6.13\WhatsApp.msi >> vs.zip >> update\Python\python38.jpg, 病毒名：Trojan/Generic!6D968A1F3A765C02, 病毒ID：6d968a1f3a765c02, 处理结果：暂不处理
   
9. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\6.13\WhatsApp.msi >> vs.zip >> update\Python\python39.jpg, 病毒名：Trojan/Generic!2FBC98501DFF2CAD, 病毒ID：2fbc98501dff2cad, 处理结果：暂不处理
   
10. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\6.13\TGXG-ZHCN.msi >> zip >> update\Python\python38.jpg, 病毒名：Trojan/Generic!6D968A1F3A765C02, 病毒ID：6d968a1f3a765c02, 处理结果：暂不处理
    
11. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\6.13\TGXG-ZHCN.msi >> zip >> update\Python\python39.jpg, 病毒名：Trojan/Generic!2FBC98501DFF2CAD, 病毒ID：2fbc98501dff2cad, 处理结果：暂不处理
    
12. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\6.13\CloudChat.msi >> vs.zip >> update\Python\python38.jpg, 病毒名：Trojan/Generic!6D968A1F3A765C02, 病毒ID：6d968a1f3a765c02, 处理结果：暂不处理
    
13. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\6.13\CloudChat.msi >> vs.zip >> update\Python\python39.jpg, 病毒名：Trojan/Generic!2FBC98501DFF2CAD, 病毒ID：2fbc98501dff2cad, 处理结果：暂不处理
    
14. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\6.13\signal.msi >> vs.zip >> update\Python\python38.jpg, 病毒名：Trojan/Generic!6D968A1F3A765C02, 病毒ID：6d968a1f3a765c02, 处理结果：暂不处理
    
15. 风险路径：C:\Users\UnknownOoo\Downloads\Compressed\6.13\signal.msi >> vs.zip >> update\Python\python39.jpg, 病毒名：Trojan/Generic!2FBC98501DFF2CAD, 病毒ID：2fbc98501dff2cad, 处理结果：暂不处理

复制代码

运行：
eyy-Setup.msi -> MISS

yiwaiwai.msi -> 拉黑衍生物

1. 病毒名称：Trojan/Generic!3EDD2FF1A5FF5208
   
2. 病毒ID：3EDD2FF1A5FF5208
   
3. 病毒路径：C:\Users\Administrator\AppData\Roaming\y\libcef.dll
   
4. 操作类型：修改
   
5. 操作结果：已处理，删除文件
   

复制代码

Youdaouiz-zx.msi -> （AntoHotKey利用）内存防护拦截

1. 防护项目：系统任务目录
   
2. 目标文件：C:\Windows\System32\Tasks\AHK
   
3. 操作结果：已允许
   
4. 进程ID：1456
   
5. 操作进程：C:\Windows\System32\svchost.exe
   
6. 操作进程命令行：C:\Windows\system32\svchost.exe -k netsvcs -p -s Schedule
   
7. 父进程ID：812
   
8. 父进程：C:\Windows\System32\services.exe
   
9. 父进程命令行：C:\Windows\system32\services.exe
   
10. 
    
11. 病毒名称：Backdoor/Lotok.fs
    
12. 病毒ID：C284CCDE13F78515
    
13. 虚拟地址：0x0000000003BA0000
    
14. 映像大小：320KB
    
15. 是否完整映像：否
    
16. 数据流哈希：dc0ab185
    
17. 操作结果：已处理
    
18. 进程ID：8504
    
19. 操作进程：C:\Users\Public\Music\python\pythonw.exe
    
20. 操作进程命令行：C:\Users\Public\Music\python\pythonw.exe  C:\Users\Public\Music\python\qd.jpg
    
21. 父进程ID：4900
    
22. 父进程：C:\Windows\System32\cmd.exe
    
23. 父进程命令行：C:\Windows\system32\cmd.exe /c start C:\Users\Public\Music\python\pythonw.exe C:\Users\Public\Music\python\qd.jpg&del C:\Users\Public\Music\python\py.zip

复制代码

易歪歪.msi -> 内存防护拦截

1. 病毒名称：Trojan/FakeDll.v
   
2. 病毒ID：D4F68021E553E959
   
3. 虚拟地址：0x000000006F450000
   
4. 映像大小：1.6MB
   
5. 是否完整映像：是
   
6. 数据流哈希：716233a3
   
7. 操作结果：已处理
   
8. 进程ID：7544
   
9. 操作进程：C:\ProgramData\iusb3mon.exe
   
10. 操作进程命令行："C:\ProgramData\iusb3mon.exe" false
    
11. 父进程ID：11168
    
12. 父进程：C:\Windows\SysWOW64\msiexec.exe
    
13. 父进程命令行：C:\Windows\syswow64\MsiExec.exe -Embedding C47BD2C081B3C96CBEE30DDA1FAEE0C7
    
14. 
    
15. 病毒名称：Trojan/FakeDll.v
    
16. 病毒ID：D4F68021E553E959
    
17. 病毒路径：C:\ProgramData\qbcore.dll
    
18. 操作类型：修改
    
19. 操作结果：已处理，删除文件
    
20. 
    
21. 进程ID：2300
    
22. 操作进程：C:\ProgramData\Data\un.exe
    
23. 操作进程命令行："C:\ProgramData\Data\un.exe" x -o+ -ppoiuytrewq C:\ProgramData\Data\upx.rar qbcore.dll C:\ProgramData\
    
24. 父进程ID：11168
    
25. 父进程：C:\Windows\SysWOW64\msiexec.exe

复制代码

有道翻译.msi -> 内存防护&实时监控拦截

1. 病毒名称：Trojan/FakeDll.v
   
2. 病毒ID：D4F68021E553E959
   
3. 虚拟地址：0x0000000071CE0000
   
4. 映像大小：1.6MB
   
5. 是否完整映像：是
   
6. 数据流哈希：99b17bf5
   
7. 操作结果：已处理
   
8. 进程ID：5272
   
9. 操作进程：C:\ProgramData\iusb3mon.exe
   
10. 操作进程命令行："C:\ProgramData\iusb3mon.exe" false
    
11. 父进程ID：944
    
12. 父进程：C:\Windows\SysWOW64\msiexec.exe
    
13. 父进程命令行：C:\Windows\syswow64\MsiExec.exe -Embedding D2D136179BE8008065BA334687727406
    
14. 
    
15. 病毒名称：Trojan/FakeDll.v
    
16. 病毒ID：D4F68021E553E959
    
17. 病毒路径：C:\ProgramData\qbcore.dll
    
18. 操作类型：修改
    
19. 操作结果：已处理，删除文件
    
20. 
    
21. 进程ID：2808
    
22. 操作进程：C:\ProgramData\Data\un.exe
    
23. 操作进程命令行："C:\ProgramData\Data\un.exe" x -o+ -ppoiuytrewq C:\ProgramData\Data\upx.rar qbcore.dll C:\ProgramData\
    
24. 父进程ID：944
    
25. 父进程：C:\Windows\SysWOW64\msiexec.exe
    
26. 
    
27. 防护项目：系统任务目录
    
28. 目标文件：C:\Windows\System32\Tasks\Windows Connection Manager（Windows网络连接管理服务）
    
29. 操作结果：已阻止
    
30. 进程ID：1480
    
31. 操作进程：C:\Windows\System32\svchost.exe
    
32. 操作进程命令行：C:\Windows\system32\svchost.exe -k netsvcs -p -s Schedule
    
33. 父进程ID：820
    
34. 父进程：C:\Windows\System32\services.exe
    
35. 父进程命令行：C:\Windows\system32\services.exe

复制代码

T.G-X64.msi.exe -> 拉黑衍生物

1. 病毒名称：Trojan/Generic!CF8795C081EC06B7
   
2. 病毒ID：CF8795C081EC06B7
   
3. 病毒路径：C:\Users\Default\Desktop\XbRREETHXEER\yybob\HipsdiaMain.dll
   
4. 操作类型：修改
   
5. 操作结果：已处理，删除文件
   
6. 
   
7. 病毒名称：Trojan/Generic!7E4C52775D40E27F
   
8. 病毒ID：7E4C52775D40E27F
   
9. 病毒路径：C:\Program Files (x86)\Common Files\Microsoft Shared\VGX\mestat.dll
   
10. 操作类型：修改
    
11. 操作结果：已处理，删除文件
    
12. 
    
13. 病毒名称：Trojan/Generic!45BA7A84A9947628
    
14. 病毒ID：45BA7A84A9947628
    
15. 病毒路径：C:\Program Files (x86)\Common Files\Microsoft Shared\VGX\libmini.dll
    
16. 操作类型：修改
    
17. 操作结果：已处理，删除文件
    
18. 
    
19. 病毒名称：Trojan/Generic!30C79238AC6DB2EA
    
20. 病毒ID：30C79238AC6DB2EA
    
21. 病毒路径：C:\Users\Default\Desktop\XbRREETHXEER\yybob\TDPINFO.dll
    
22. 操作类型：修改
    
23. 操作结果：已处理，删除文件
    

复制代码

wsp_offcail.exe -> 内存防护拦截

1. 病毒名称：Backdoor/Farfli.bo
   
2. 病毒ID：D054CE08A1374E02
   
3. 虚拟地址：0x0000000000F50000
   
4. 映像大小：256KB
   
5. 是否完整映像：否
   
6. 数据流哈希：287befe8
   
7. 操作结果：已处理
   
8. 进程ID：10804
   
9. 操作进程：C:\Users\Administrator\AppData\Roaming\金山文档精灵 1.3.5\VPalyer.exe
   
10. 操作进程命令行："C:\Users\Administrator\AppData\Roaming\金山文档精灵 1.3.5\VPalyer.exe"
    
11. 父进程ID：3028
    
12. 父进程：C:\Windows\SysWOW64\msiexec.exe
    
13. 父进程命令行：C:\Windows\syswow64\MsiExec.exe -Embedding ED83DC15152F841B22B512D957058A38 C
    
14. 
    
15. 防护项目：启动项
    
16. 操作类型：修改
    
17. 数据内容："C:\Users\Administrator\AppData\Roaming\金山文档精灵 1.3.5\VPalyer.exe"
    
18. 目标注册表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\YPPPzhdga
    
19. 操作结果：已阻止
    
20. 进程ID：10804
    
21. 操作进程：C:\Users\Administrator\AppData\Roaming\金山文档精灵 1.3.5\VPalyer.exe
    
22. 操作进程命令行："C:\Users\Administrator\AppData\Roaming\金山文档精灵 1.3.5\VPalyer.exe"
    
23. 父进程ID：3028
    
24. 父进程：C:\Windows\SysWOW64\msiexec.exe
    
25. 父进程命令行：C:\Windows\syswow64\MsiExec.exe -Embedding ED83DC15152F841B22B512D957058A38 C

复制代码

yaokai815

腾管kill 1x  瑞星kill 2x  卡巴kill 5x

东南大学

CS解压Miss All
貌似对这类不太感冒。。。全是解压Miss All