钓鱼 trojan * 1

东南大学

CS解压+扫描miss

hipoxiaxxx

FortiClient扫描KILL
W64/Farfli.AD!tr
与ESET相同

DisaPDB

改关联的操作在这，也不知道是用来干什么的

1. LABEL_9:
   
2.     wcsncpy_s(Destination, 0x104ui64, v6, v8);
   
3.     goto LABEL_10;
   
4.   }
   
5.   v8 = lstrlenW(v6) - 1;
   
6.   v9 = v8;
   
7.   if ( v8 > 0 )
   
8.   {
   
9.     while ( v6[v9] != 32 )
   
10.     {
    
11.       --v9;
    
12.       --v8;
    
13.       if ( v9 <= 0 )
    
14.         goto LABEL_10;
    
15.     }
    
16.     goto LABEL_9;
    
17.   }
    
18. LABEL_10:
    
19.   if ( !(unsigned int)sub_140005AA0(a1, Destination, 1i64, Dst) )
    
20.     return 0;
    
21.   memset(v16, 0, 0x3E8ui64);
    
22.   wsprintfW(v16, L"%s\\shell\\open\\command", Dst);
    
23.   memset(Dst, 0, 0x208ui64);
    
24.   memset(Src, 0, 520);
    
25.   if ( !(unsigned int)sub_140005AA0(a1, v16, 2i64, Src) )
    
26.     return 0;
    
27.   ExpandEnvironmentStringsW(Src, Dst, 0x104u);
    
28.   v10 = wcsstr(Dst, L""%1");
    
29.   if ( v10 || (v10 = wcsstr(Dst, L"%1")) != 0i64 )
    
30.   {
    
31.     lstrcpyW(v10, a2);
    
32.   }
    
33.   else
    
34.   {
    
35.     lstrcatW(Dst, " ");
    
36.     lstrcatW(Dst, a2);
    
37.   }
    
38.   memset(&StartupInfo.lpReserved, 0, 0x60ui64);
    
39.   StartupInfo.cb = 104;
    
40.   if ( a3 )
    
41.   {
    
42.     StartupInfo.lpDesktop = L"WinSta0\\Default";
    
43.   }
    
44.   else
    
45.   {
    
46.     StartupInfo.dwFlags = 1;
    
47.     StartupInfo.wShowWindow = 0;
    
48.   }
    
49.   CreateProcessW(0i64, Dst, 0i64, 0i64, 0, 0, 0i64, 0i64, &StartupInfo, &ProcessInformation);
    
50.   return 1;
    
51. }

复制代码

1073328164

YU2711 发表于 2024-7-8 18:55
我这边刚扫出来的

刚才试了下，很神奇，昨天解压的样本怎么扫描都是无威胁，但是重新解压的就给我报毒干掉了，电脑里面也没别的安全软件不可能文件被修复之类的，见鬼了

yaokai815

瑞星kill

吃瓜群众第123位

AhnLab kill

846472713

ESET

x-天秤座

才看见此贴，下载解压，直接被Avast给杀了。