带数字签名的伪浏览器一枚，VT仅4杀

wwwab

有可能也是广告软件或者流氓软件。

数字签名"Ma'anshan Canghong Information Technology Co., Ltd."应该是属于"马鞍山藏鸿信息技术有限公司"
其下有一个域名备案为"5uxitong.com" (皖ICP备2024052296号-1)
如下图所示：








看了一下，报毒集中在释放的CeUpdater.exe，该文件无数字签名，不知道会干什么，VirusTotal URL: https://www.virustotal.com/gui/f ... 34dbfc1bc/detection

驭龙

wwwab 发表于 2024-12-21 11:44
有可能也是广告软件或者流氓软件。

数字签名"Ma'anshan Canghong Information Technology Co., Ltd."应 ...

数字签名真是脱罪真神器啊，有数字签名干点流氓之事都没人管，这种比一些真威胁更讨厌

wwwab

看了一下，确实是比较流氓的程序，从CeUpdater.exe运行之后的内存字符串就能看出来：

驭龙

wwwab 发表于 2024-12-21 11:55
看了一下，确实是比较流氓的程序，从CeUpdater.exe运行之后的内存字符串就能看出来：

现在这种东西真的是随处可见，搜索引擎里一抓一大把，居然还有人认为现在的网络环境天下无毒，其实在我看来，流氓软件也不比病毒和木马好多少

wwwab

驭龙 发表于 2024-12-21 11:49
数字签名真是脱罪真神器啊，有数字签名干点流氓之事都没人管，这种比一些真威胁更讨厌

这个样本的流氓程序确实挺高了，怪不得卡巴斯基直接入库Trojan..

和我之前写的《重磅，假冒 Google Chrome 安装程序（携带有效数字签名）劫持用户浏览器主页》中的“样本行为”一节那个系列的样本手法差不多，这么大的动作就和Trojan差不多..


@XywCloud @火绒工程师 好像没有查杀，来入个库
@落华无痕

驭龙

wwwab 发表于 2024-12-21 12:06
这个样本的流氓程序确实挺高了，怪不得卡巴斯基直接入库Trojan..

和我之前写的《重磅，假冒 Google Ch ...

从我抓的这两个流氓来看，感觉卡巴确实是牛，对付这种流氓也毫不手软，好多家见到有效的数字签名就直接pass了，可这种流氓也是很影响电脑体验了

LeeHS

cortex miss

枣泥奶卷

驭龙 发表于 2024-12-21 12:13
从我抓的这两个流氓来看，感觉卡巴确实是牛，对付这种流氓也毫不手软，好多家见到有效的数字签名就直接pa ...

卡巴对于国内的流氓感觉已经非常具有包容性了

ANY.LNK

这个是流氓软件，算是BrowserModifier吧，会篡改浏览器主页，收藏夹等



微软杀了CeUpdater.exe，不过没有阻止篡改行为

驭龙

ANY.LNK 发表于 2024-12-21 16:48
这个是流氓软件，算是BrowserModifier吧，会篡改浏览器主页，收藏夹等

今天杀了其中的黑EXE啊，不错有进步，哈哈