应该是利用合法远控的FakeAPP 1X

btbtg

玛姆库特

终于能登录论坛了实机双击（EIS+智量），火绒自定义拦截setup_Ir5swQ5DpeRNwxXBTQuvwewK.exe人脑杀毒，之后结束谷歌进程，无事发生。
触犯规则：000| FLY_MC17改进
操作类型：【修改】
操作文件：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\GoogleUpdate.exe\DisableExceptionChainValidation
操作结果：结束进程

进程ID：5824
操作进程：C:\Windows\SystemTemp\GUM2162.tmp\GoogleUpdate.exe
操作进程命令行：C:\windows\SystemTemp\GUM2162.tmp\GoogleUpdate.exe /installsource taggedmi /install "appguid={8A69D345-D564-463C-AFF1-A69D9E530F96}&iid={9F0C1F44-1C50-396A-483A-08DA4896FF0B}&lang=zh-CN&browser=4&usagestats=1&appname=Google%20Chrome&needsadmin=prefers&ap=x64-stable-statsdef_1&installdataindex=empty"
父进程ID：1136
父进程：C:\Program Files (x86)\Chrome\ChromeSetup.exe
父进程命令行："C:\Program Files (x86)\Chrome\ChromeSetup.exe"
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【2】2024-09-30 16:00:26,系统防护,自定义防护,msiexec.exe触犯自定义防护规则, 已阻止

触犯规则：000| FLY_MC17改进
操作类型：【创建】
操作文件：C:\Program Files (x86)\setup_Ir5swQ5DpeRNwxXBTQuvwewK.exe
操作结果：已阻止

yaokai815

火绒  瑞星 均0x

123456aaaafsdeg

江民：0

hsks

anthonyqian 发表于 2024-9-30 15:44
BD不认为是威胁诶。。。。

你把triage的运行结果给BD再看看？
https://tria.ge/240929-pp6z5avarr/behavioral2

Eset小粉絲

anthonyqian 发表于 2024-9-30 15:44
BD不认为是威胁诶。。。。

取里面的100+MB那个文件

anthonyqian

hsks 发表于 2024-9-30 17:54
你把triage的运行结果给BD再看看？
https://tria.ge/240929-pp6z5avarr/behavioral2

BD又入库了…

The analysis of the file has been completed.

The file is malicious and detection will be added in the next couple of updates.