【开放测试】卡饭病毒样本包 20240716 第146期

QVM360

警告：本主题中所包含的任何文件和附件都有危害你的计算机的可能，并且没有安全软件可以100%防护这些样本。
          对于下载样本或附件所导致的任何数据泄露、破坏，以及所产生的任何损失，本人和卡饭论坛不负任何责任。

样本下载：
https://mc163.lanzoue.com/i5HVl24mi7rg
SHA256: 735455DD5C2A18FE3D3E264CCD2618F7856E72D23D57320843119790509DD264

压缩包密码：infected

如果样本中包含.ps1文件(Powershell脚本)，则需要手动打开cmd.exe输入以下指令允许运行ps1脚本:

Powershell.exe Set-ExecutionPolicy Bypass

奖励/惩罚规则：
奖励规则：
1、上传扫描日志，+5经验。
2、上传双击结果，+10经验。
3、测试多款安全软件的，奖励累加。
惩罚规则：
1、占楼后2小时内未能给出测试结果的，视为灌水，按照论坛规定处理
2、其他违规行为，按照论坛相关规定处理。

注意：扫描/双击日志请以附件形式（压缩包）上传，或者以1号字体放在回复中。         
          对于日志过长以至于影响会员刷帖/回帖体验的回复，管理人员有权进行屏蔽处理。

当前测试阶段：开放测试

----------------------------------------------------
往期测试样本包下载：
https://mc163.lanzoue.com/b0edaxo1g
密码:GkNO64bFD5bf

Komeiji-Reimu

怎么越来越早



卡巴斯基免费版

扫描kill 40x



双击：
无法测试xls与dll

剩余一个
fe95e04e35fd4b8583c10caed5af485d6d72115736e6af9237fe15b1846f89fc     可爱的小人，不知道怎么玩




Avast免费版扫描kill  42x



剩余   1af85cb62419f9814bc662b00bc531a0a17cdd90cbdd3bc8b2b09f1f6a77a163   
双击



其中一个行为

1. reg  add HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "DESKTOP-2S83710" /t reg_sz /d "C:\Users\Marisa\Win6d69\Win6d69.exe"

复制代码

击杀衍生物








360（扫了一万年）
扫描kill 37x





双击：
1ccf2435674e5a774cbb63f1177f3ae6c592ccf152bb50986cb80e6a76c24857.xls    由于没有Excel测不了
868582a9b771968c6a81d446f2eefe693818cb02c04271e75735b4a790965c8b      Hips，退出

069720172b5a5c8864dd3ab7cf716058eb03af6350bab7e6d9d6b2edea10030a     无法运行
2588628567a389739902b81ee0da9ade0fb2581cfb0f7e8a4e77eb7c8c9686d7   miss，安装，安装后Hips

f746fa8eb3b2eda0f6e57502abf00b25026aed7f4cb74bff7d9346e5e4efe4fb    Hips后退出

fe95e04e35fd4b8583c10caed5af485d6d72115736e6af9237fe15b1846f89fc    Miss，运行后有一个可爱的小人趴在窗口上，没发现怎么搞出特殊行为，默认没有网络外联





华为（默认高误报模式）

扫描kill 34x


双击：
0cbc9aef6dd83f1b09549c89dcd27f29cfb05f8af06bea0e7192197a17a765de     miss
1af85cb62419f9814bc662b00bc531a0a17cdd90cbdd3bc8b2b09f1f6a77a163   miss
86f7459bb61b6eaf595824dc945f72659d557a8bdda517153053e734d80d7799  一段时间kill

069720172b5a5c8864dd3ab7cf716058eb03af6350bab7e6d9d6b2edea10030a    无法运行
ec028ba8be6d33da9caf56d34f7a59eeee5c3cd789e1d0b120f522f2b8102c90     运行后powershell退出，没反应
f1f7a98c79875b189193c82da59aa40ce7412e5fdd67d56f9816de437e47908f    miss，本机的卡巴斯基拦截了网址访问，关闭后安装
f746fa8eb3b2eda0f6e57502abf00b25026aed7f4cb74bff7d9346e5e4efe4fb     miss
fe95e04e35fd4b8583c10caed5af485d6d72115736e6af9237fe15b1846f89fc    miss


智量（娱乐测试，个人请勿使用）
扫描永远是0，放弃测试

奇安信扫描器
扫描kill 3x






火绒6
（无高启发）
扫描kill  19x

病毒库时间：2024-07-15 18:22
开始时间：2024-07-16 18:45
总计用时：00:00:09
扫描对象：1342
扫描文件：43
发现风险：19
已处理风险：19
病毒详情：
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\0cbc9aef6dd83f1b09549c89dcd27f29cfb05f8af06bea0e7192197a17a765de.bat, 病毒名：Backdoor/Meterpreter.bo, 病毒ID：983537b3b5ad36af, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\9208a02c664094fa2633d6834c10c680fb24e1e900d449814dbbd1c48718f4ba.exe, 病毒名：Backdoor/MSIL.DDos.b, 病毒ID：85619156c23b5fc1, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\868582a9b771968c6a81d446f2eefe693818cb02c04271e75735b4a790965c8b.exe, 病毒名：HEUR:VirTool/MSIL.Obfuscator.gen!A, 病毒ID：3fda44dcb57a42be, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\86f7459bb61b6eaf595824dc945f72659d557a8bdda517153053e734d80d7799.exe, 病毒名：HEUR:VirTool/MSIL.Obfuscator.gen!A, 病毒ID：3fda44dcb57a42be, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\94e81f39e48351bb80457bc1c60098c09f90abf7160d2196187324236d7a04a5.exe, 病毒名：TrojanDownloader/Amadey.p, 病毒ID：fc81df1de0652b26, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\6799f1948048b91991392b421ccc6b30be415cda26deb71baeecb33b41b12959.dll, 病毒名：Trojan/Agent.mx, 病毒ID：104941d1931c6ccc, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\dd748e04276a2d77490012f8373d8b6be0baa76140c9c3b649f43caec20c919a.exe, 病毒名：Backdoor/Meterpreter.fb, 病毒ID：7e13b43966bb6ff4, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\d6c46400ac8ac5d5a7c2820a211b6a760495e4f58e76b72b09bb5819c294674d.exe, 病毒名：Backdoor/DarkKomet.a, 病毒ID：27cad3ded1546001, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\bf02bd70f1510a058922373da3e733fded829111b4e71d2dd967b2501684aacc.exe >> hypercontainerproviderWeb.exe, 病毒名：Backdoor/MSIL.DCRat.l, 病毒ID：9a649938959ce84b, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\ec028ba8be6d33da9caf56d34f7a59eeee5c3cd789e1d0b120f522f2b8102c90.ps1, 病毒名：Backdoor/Meterpreter.bo, 病毒ID：983537b3b5ad36af, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\f746fa8eb3b2eda0f6e57502abf00b25026aed7f4cb74bff7d9346e5e4efe4fb.exe, 病毒名：HEUR:VirTool/MSIL.Obfuscator.gen!A, 病毒ID：3fda44dcb57a42be, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\fb20f2515799981b9b526e6326f5fb1b3e54b200119ee1d02141d0513aa34fc3.exe, 病毒名：HEUR:VirTool/MSIL.Obfuscator.gen!A, 病毒ID：3fda44dcb57a42be, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\fdf7c12f0a27c062abdc5d39b606c2253b393633183f88d546bf6678c4ef27dd.exe, 病毒名：TrojanSpy/RedLine.q, 病毒ID：8038097d8c693f8f, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\feb4c3ae4566f0acbb9e0f55417b61fefd89dc50a4e684df780813fb01d61278.exe, 病毒名：HVM:TrojanDownloader/Phorpiex.a, 病毒ID：9c5a39f63a4ac783, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\aff20c28bd7188b03932a3ca44c307de9df1ec97c69d41ff3c6153e31d077b47.exe, 病毒名：TrojanSpy/Stealer.lc, 病毒ID：ad1b6a9535b919d1, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\9f0a3a5caa4240f1aae236ac243a17186e5200983749966cb6b07f311a660302.exe, 病毒名：HVM:VirTool/Obfuscator.gen!A, 病毒ID：b27d4294cde6a1ec, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\e1a050359e21a28ac438ac34b62c378ba189cedee822b36d57b56c0a06943776.exe, 病毒名：HVM:VirTool/Obfuscator.gen!A, 病毒ID：b27d4294cde6a1ec, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\d37fe4f855049ecab456f1badc8f52afecf4d6ee3d7d43de84b7e0940dbb7399.exe, 病毒名：HVM:VirTool/Obfuscator.gen!A, 病毒ID：b27d4294cde6a1ec, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\43x (2024-07-16)\1\e04440c875bc9a884bb63b42b1203b26b9a510651fea4d9ddf679f64dab6cb7d.exe >> mmsd.vbe, 病毒名：HEUR:Trojan/VBS.Agent.i, 病毒ID：bc287efb9a680ef8, 处理结果：已处理，删除文件

双击：
01eea1c612f5b1552e0c7e4fa4f53b58339f1bdbac5055d717a5d2fdb4272ccf    miss，把数据给我steal完了，火绒一声不吭

发出去了
DESKTOP-2S83710.localdomain:50464 -> 5.230.253.197:http

1af85cb62419f9814bc662b00bc531a0a17cdd90cbdd3bc8b2b09f1f6a77a163   Hips了ps之后啥也没有。
7bc1b8646a9444edb7eb912545e7194ded36e12fbe39ae941cf871250930e5e4    错误
7e3e934402c751f953a3f4a3c6c5591142e9902185bdab102e09be1f9095c0d1     miss
8f8dc73b22c993056e407a1dde2946830f4bc24c61ea7d33b9e50bd18f96075f    miss
9eedd7551fb43bd6f2c943b872401b872bf40378eb9bcea89dddfdada6890d69    miss
62d92a3b2c0ee7f125f15a606659b4675a85e4053c5d82221caed28a49635b2e  安装没完成的时候kill

089c427ce0cf50c38600eb31732d2124fb058981011a01adb58fc00df0c831b0     miss
98a4d4ed613648b4287f0f9909959e9fc1e4ca1863478034187b14de3188f7cf   miss
452dbb17639025fa094cd813c15b8eaab94e0e1247f53b277da2780b3b024e87    miss
889098c1cda089237f79b8b545c9b434f872793785817293962442e53d9e2d1c    miss
069720172b5a5c8864dd3ab7cf716058eb03af6350bab7e6d9d6b2edea10030a    打不开
2588628567a389739902b81ee0da9ade0fb2581cfb0f7e8a4e77eb7c8c9686d7     Hips了ps之后kill

a11e5e97a308ee046545cfe0167079f89968f9a1d7ae0b8a9dbc7dc39cbe2e09   kill

a1196b72da0c4aa058e75591a3ec45fbea679e88ffbaef8eb7201fbc94f14595   kill

b9c6ec21999ce5a5018cfc0dcadecdeb1c6f8c7ba9702d2bcaf5afbf25fa3e35     miss
c5ad319799d36151e0d328dc73736af67d2ea201bb57c39573cffabf9e2792d0    kill

d60df4333857d715edee8797d08e4b0a91df3215391046f7a001ddcb6860b60d   miss
eaf9193ce95f3e19383f23b2a789aa84e7f7e1e768149571d0fb6a49f885eea3     miss，异常
f1f7a98c79875b189193c82da59aa40ce7412e5fdd67d56f9816de437e47908f   miss
fe95e04e35fd4b8583c10caed5af485d6d72115736e6af9237fe15b1846f89fc     kill衍生物，还有可爱小人




高启发模式：

kill 19x

病毒库时间：2024-07-15 18:22
开始时间：2024-07-16 18:56
总计用时：00:00:09
扫描对象：1342
扫描文件：43
发现风险：19
已处理风险：19
病毒详情：
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\0cbc9aef6dd83f1b09549c89dcd27f29cfb05f8af06bea0e7192197a17a765de.bat, 病毒名：Backdoor/Meterpreter.bo, 病毒ID：983537b3b5ad36af, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\9208a02c664094fa2633d6834c10c680fb24e1e900d449814dbbd1c48718f4ba.exe, 病毒名：Backdoor/MSIL.DDos.b, 病毒ID：85619156c23b5fc1, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\86f7459bb61b6eaf595824dc945f72659d557a8bdda517153053e734d80d7799.exe, 病毒名：HEUR:VirTool/MSIL.Obfuscator.gen!A, 病毒ID：3fda44dcb57a42be, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\868582a9b771968c6a81d446f2eefe693818cb02c04271e75735b4a790965c8b.exe, 病毒名：HEUR:VirTool/MSIL.Obfuscator.gen!A, 病毒ID：3fda44dcb57a42be, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\94e81f39e48351bb80457bc1c60098c09f90abf7160d2196187324236d7a04a5.exe, 病毒名：TrojanDownloader/Amadey.p, 病毒ID：fc81df1de0652b26, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\6799f1948048b91991392b421ccc6b30be415cda26deb71baeecb33b41b12959.dll, 病毒名：Trojan/Agent.mx, 病毒ID：104941d1931c6ccc, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\d6c46400ac8ac5d5a7c2820a211b6a760495e4f58e76b72b09bb5819c294674d.exe, 病毒名：Backdoor/DarkKomet.a, 病毒ID：27cad3ded1546001, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\dd748e04276a2d77490012f8373d8b6be0baa76140c9c3b649f43caec20c919a.exe, 病毒名：Backdoor/Meterpreter.fb, 病毒ID：7e13b43966bb6ff4, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\bf02bd70f1510a058922373da3e733fded829111b4e71d2dd967b2501684aacc.exe >> hypercontainerproviderWeb.exe, 病毒名：Backdoor/MSIL.DCRat.l, 病毒ID：9a649938959ce84b, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\ec028ba8be6d33da9caf56d34f7a59eeee5c3cd789e1d0b120f522f2b8102c90.ps1, 病毒名：Backdoor/Meterpreter.bo, 病毒ID：983537b3b5ad36af, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\f746fa8eb3b2eda0f6e57502abf00b25026aed7f4cb74bff7d9346e5e4efe4fb.exe, 病毒名：HEUR:VirTool/MSIL.Obfuscator.gen!A, 病毒ID：3fda44dcb57a42be, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\fdf7c12f0a27c062abdc5d39b606c2253b393633183f88d546bf6678c4ef27dd.exe, 病毒名：TrojanSpy/RedLine.q, 病毒ID：8038097d8c693f8f, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\fb20f2515799981b9b526e6326f5fb1b3e54b200119ee1d02141d0513aa34fc3.exe, 病毒名：HEUR:VirTool/MSIL.Obfuscator.gen!A, 病毒ID：3fda44dcb57a42be, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\feb4c3ae4566f0acbb9e0f55417b61fefd89dc50a4e684df780813fb01d61278.exe, 病毒名：HVM:TrojanDownloader/Phorpiex.a, 病毒ID：9c5a39f63a4ac783, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\aff20c28bd7188b03932a3ca44c307de9df1ec97c69d41ff3c6153e31d077b47.exe, 病毒名：TrojanSpy/Stealer.lc, 病毒ID：ad1b6a9535b919d1, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\9f0a3a5caa4240f1aae236ac243a17186e5200983749966cb6b07f311a660302.exe, 病毒名：HVM:VirTool/Obfuscator.gen!A, 病毒ID：b27d4294cde6a1ec, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\d37fe4f855049ecab456f1badc8f52afecf4d6ee3d7d43de84b7e0940dbb7399.exe, 病毒名：HVM:VirTool/Obfuscator.gen!A, 病毒ID：b27d4294cde6a1ec, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\e1a050359e21a28ac438ac34b62c378ba189cedee822b36d57b56c0a06943776.exe, 病毒名：HVM:VirTool/Obfuscator.gen!A, 病毒ID：b27d4294cde6a1ec, 处理结果：已处理，删除文件
风险路径：C:\Users\Marisa\Desktop\11\43x (2024-07-16)\1\e04440c875bc9a884bb63b42b1203b26b9a510651fea4d9ddf679f64dab6cb7d.exe >> mmsd.vbe, 病毒名：HEUR:Trojan/VBS.Agent.i, 病毒ID：bc287efb9a680ef8, 处理结果：已处理，删除文件




冰盾

看一下可爱小人fe95e04e35fd4b8583c10caed5af485d6d72115736e6af9237fe15b1846f89fc   什么也没有



看看Avast剩余的  1af85cb62419f9814bc662b00bc531a0a17cdd90cbdd3bc8b2b09f1f6a77a163      
这个有互斥体，好像只能运行一次







之后应该还有，不过阻止了就没有后文了

hsks

360

1073328164

迈克菲扫描 kill 37x

biue

腾讯电脑管家 41X

莒县小哥

WD杀40枚

syswow64

BD

扫描杀33个，剩余10个



双击：云杀3个，miss1个，OTP拦截下载1个，ATD杀5个
fe95e04e35fd4b8583c10caed5af485d6d72115736e6af9237fe15b1846f89fc.exe怎么看着这么像白样本呢


c5ad319799d36151e0d328dc73736af67d2ea201bb57c39573cffabf9e2792d0.exe：
SuspiciousBehavior.2B3EDB6965D38CEE

e1a050359e21a28ac438ac34b62c378ba189cedee822b36d57b56c0a06943776.exe：
Gen:Suspicious.Cloud.2.evW@aGOCoxni


d37fe4f855049ecab456f1badc8f52afecf4d6ee3d7d43de84b7e0940dbb7399.exe：
Gen:Suspicious.Cloud.12.02DF9693570000


1af85cb62419f9814bc662b00bc531a0a17cdd90cbdd3bc8b2b09f1f6a77a163.cmd：
被OTP拦截衍生物下载

9f0a3a5caa4240f1aae236ac243a17186e5200983749966cb6b07f311a660302.exe：
Gen:Suspicious.Cloud.13.02DF9693570000

下面4个应该也是云杀，不知道BD什么毛病，有些样本被阻止运行之后就没后续了，日志里也啥也没有

这四个关掉监控单测ATD：
fb20f2515799981b9b526e6326f5fb1b3e54b200119ee1d02141d0513aa34fc3.exe：
Trojan.Generic.36536889

f746fa8eb3b2eda0f6e57502abf00b25026aed7f4cb74bff7d9346e5e4efe4fb.exe：
SuspiciousBehavior.2B3EDB6918655C0F


868582a9b771968c6a81d446f2eefe693818cb02c04271e75735b4a790965c8b.exe：
Trojan.Generic.36536889

86f7459bb61b6eaf595824dc945f72659d557a8bdda517153053e734d80d7799.exe：
Trojan.Generic.36536889

交流学习大猫咪

WOLF+MD 监控+扫描杀40个，剩余3个。
单WOLF，监控杀24个，剩余19个。
单MD，监控+扫描杀39个，剩余4个。
----------------------------------------------wolf的日志很难高效的完整的导出来呀，没有找到log文件，请问各位专家是否知道wolf的log文件在哪儿？

筑梦

hsks 发表于 2024-7-16 17:07
360

等二扫和双击

Guard丶曾经

ESET扫描37 MISS5个。未双击。

xmt12

华为 29x
360 35x
360双击