可疑样本。过360，卡巴，ESET扫描

莒县小哥

DisaPDB

Kaspersky

1. 事件: 回滚已完成
   
2. 应用程序: QQW.exe
   
3. 用户: DESKTOP-7PJ65GJ\mac
   
4. 用户类型: 发起者
   
5. 组件: 系统监控
   
6. 结果说明: 应用程序操作回滚
   
7. 类型: 木马
   
8. 名称: PDM:Trojan.Win32.Generic
   
9. 威胁级别: 高
   
10. 对象类型: 进程
    
11. 对象路径: c:\program files (x86)
    
12. 对象名称: qqw.exe

复制代码

DisaPDB 发表于 2024-7-19 10:27
下载拦截不可信

额，看到这个评论，包括底下也有几个评论的同学在猜测，询问，我说下我的测试方法吧，这篇帖子上传的压缩包是有压缩密码的，下载后安全卫士提示解压，输入解压密码后，360安全卫士下载拦截窗口弹出，所以不存在楼下有位同学所说的“直接拉黑网盘”的情况，至于扫描结果和拦截结果不一样的情况，是否是“文件名”，就说不清了

1073328164 发表于 2024-7-19 10:32
不排除有的杀软会直接拉黑某些网盘，你如果从该网盘下载文件，无论是什么内容都被拦截，我的咖啡就是如此

360没有拉黑网盘，是实际下载输入密码解压后检测的结果

DisaPDB

keen-qv 发表于 2024-7-19 10:36
额，看到这个评论，包括底下也有几个评论的同学在猜测，询问，我说下我的测试方法吧，这篇帖子上传的压缩 ...

没有具体报法的都是文件名

1073328164

keen-qv 发表于 2024-7-19 10:37
360没有拉黑网盘，是实际下载输入密码解压后检测的结果

我只是猜测这种可能性，毕竟我不用360，只是我在用的迈克菲以及EDGE浏览器都出现过对特定网盘的拉黑行为，至于解压检测报毒但是扫描不报毒，只能猜测是不是云拉黑导致的

hz951193102

https://sandbox.qianxin.com/tq/report/toViewReport.do?rid=5cd88f9f1a33b1342d60e2361855035e&sk=40596914&devsk=dfe71ac41c89a0d0105850f4f73af44cx

ioc：206.238.198.202（银狐）

tjsh

河众 使用7zip手动拆包后得：
0蛋

西风萧雨

360扫描MISS   云沙箱分析：恶意

aboringman

PS.鉴于有人先上传了天穹沙箱，无法保证结果的准确性

火绒：

1. 风险路径：C:\Users\Killer\Desktop\执行查看明细\执行查看明细.msi >> QQW.exe, 病毒名：ADV:TrojanDownloader/Generic!meteor, 病毒ID：a540286dfdaab915, 处理结果：已处理，删除文件

复制代码

运行

1. 病毒名称：Backdoor/Lotok.F
   
2. 病毒路径：C:\Program Files (x86)\QQW.exe
   
3. 操作结果：已处理
   
4. 
   
5. 进程ID：6320
   
6. 操作进程命令行："C:\Program Files (x86)\QQW.exe"
   
7. 父进程ID：3360
   
8. 父进程：C:\Windows\Installer\MSI667E.tmp
   
9. 父进程命令行："C:\Windows\Installer\MSI667E.tmp" /EnforcedRunAsAdmin /DontWait "C:\Program Files (x86)\QQW.exe"

复制代码