这是一个诱导文件，过数字和火绒。

显示全部楼层 · 发表于 2024-10-8 15:20:37

一客户发给我的，说接收了之后，有人冒充老板加他，然后把财务拉了一个群。。
有没有大佬能反向编译看看。这是啥木马
密码是： kf123

显示全部楼层 · 发表于 2024-10-8 17:11:13

本帖最后由 QVM360 于 2024-10-8 17:12 编辑

分流：https://mc163.lanzoue.com/izECQ2bzysof

infected
另外提醒下楼主，个性签名可能会被认为是广告

显示全部楼层 · 发表于 2024-10-8 15:38:27

ESET解压杀

显示全部楼层 · 发表于 2024-10-8 15:49:05

注入explorer。
BD ATD 1x，估计银狐

显示全部楼层 · 发表于 2024-10-8 15:50:08

显示全部楼层 · 发表于 2024-10-8 15:57:27

显示全部楼层 · 发表于 2024-10-8 15:57:48

本帖最后由 QVM360 于 2024-10-8 17:07 编辑

运行就创建一个FNTQP.exe,然后运行创建的这个FNTQP.exe直接闪退，怀疑反虚拟机

显示全部楼层 · 发表于 2024-10-8 16:09:44

kaba666 发表于 2024-10-8 15:57
什么垃圾玩意？运行就创建一个FNTQP.exe,然后运行创建的这个FNTQP.exe直接闪退，怀疑反虚拟机

从微步的分析报告以及opentip的反馈结果来看，的确是反虚拟机

显示全部楼层 · 发表于 2024-10-8 16:40:05

显示全部楼层 · 发表于 2024-10-8 16:51:52

不确定是否在解压过程中被MDE或DI干掉了

[病毒样本] 这是一个诱导文件，过数字和火绒。