做会计的朋友误点的邮件中的税务抽查病毒...

truetime

杀毒网目前全绿，火绒不报、360不报、哈珀未发现风险（但是危险指数略高）、奇安信开始无风险刷新后显示存疑。
朋友说症状是，电脑微信把税务群全部转发病毒，然后退群（存疑），也有可能是群主清理的。
https://www.virscan.org/report/6 ... 233393bad9ecdaf21af
https://sandbox.ti.qianxin.com/s ... ZLSO_AFSZq0HOVfdGSW


样本：https://wwyu.lanzoue.com/iD9nF2dky6pg
解压密码：123

1073328164

迈克菲扫描 miss

truetime

1073328164 发表于 2024-10-28 17:08
迈克菲扫描 miss

老铁你真快。这个源文件怀疑是个下载器，奇安信检测很多联网行为。

1073328164

truetime 发表于 2024-10-28 17:11
老铁你真快。这个源文件怀疑是个下载器，奇安信检测很多联网行为。

发opentip跑了下，卡巴检出后门程序https://opentip.kaspersky.com/65 ... /results?tab=upload

淘淘巷

卡巴双击杀衍生物

1. 事件: 检测到恶意对象
   
2. 应用程序名称: SW1.16-install客户端.exe
   
3. 应用程序路径: C:\Users\_\Downloads\税务病毒样本SWJC12366\SWJC12366
   
4. 组件: 文件反病毒
   
5. 结果说明: 检测到
   
6. 类型: 木马
   
7. 名称: HEUR:Backdoor.Win32.Menacer.gen
   
8. 精确度: 不确切
   
9. 威胁级别: 高
   
10. 对象类型: 文件
    
11. 对象名称: pobus64.exe
    
12. 对象路径: C:\ProgramData\projone\potcm
    
13. 对象的 MD5: 1EF2AE6D04C88459B5675CBD2268B0F3
    
14. 原因: 专家分析
    
15. 数据库发布日期: 今天，2024/10/28 下午2:18:00

复制代码

奇怪的是触发了回滚，删了一堆文件，看了一下发生时间与杀衍生物的时间相同。以前还只见过主防能触发回滚。

玛姆库特

（EIS+智量）实机，扫描miss，双击智量秒杀。

truetime

玛姆库特 发表于 2024-10-28 17:19
（EIS+智量）实机，扫描miss，双击智量秒杀。

智量真的可惜了。

truetime

1073328164 发表于 2024-10-28 17:15
发opentip跑了下，卡巴检出后门程序https://opentip.kaspersky.com/65D711150C4EB055377A0D63A22555D6335 ...

看来下载器无疑了。

Eset小粉絲

Payload：https[://darkgray-grouse-339014.hostingersite.com/Windows.rar
Password：Ab123456789
Mirror：https://we.tl/t-cZMCjjTktx

求白加黑文件。。。（白文件太多了

Loyisa

Avast触发CyberCapture 然而什么都没检测出来
继续双击触发FileRep 干掉之后还有一堆行为


然后avast会提示重启 重启之后没事了
真是一场酣汗淋漓的对抗啊！