Fakeapp 8X

全身发抖

回归！
https://pan.huang1111.cn/s/ZqA4nuL
解压密码 infected

xu126yx

好家伙大礼包了可以说，而且行为十分丰富，是个很好的样本包
HMPA kill 7x miss 1x (7x also lockdown) ，就截个整体的吧
-------------------------------------------------------
具体行为：
aaa: kernel32trap callee getprocaddress
asx: sguardsvc32.exe, kernel32trap callee loadlibrary; powershell.exe -> update.dll, heapheapprotect callee protectvirtualmemory
cs322d: qqmusicexternal.exe -> qqmusiccommon.dll, heapheapprotect callee protectvirtualmemory
ccc: miss
d9192f: softupdata.exe -> libcef.dll, heapheapprotect callee protectvirtualmemory
qqq: c2interceptor subtype stager (JMP 0x2850bf20181)
qwe: spolsvt.exe -> taskman.exe, hollowprocess (Target PEB 0x003DD000 +0x8)
steup: c55dec.exe -> fss.dll, heapheapprotect callee allocatevirtualmemory

吃瓜群众第123位

Avast kill2x

心醉咖啡

火绒

lsop1349987

emsi
asx/qwe 解压扫描kill

4/13/2025 5:19:07 PM
通知： "Gen:Variant.Adware.Lazy.1788 (B) C:\Users\admin\Desktop\Fakeapp-New\qwe.exe was detected and quarantined." .

4/13/2025 5:19:41 PM
扫描器检测 恶意软件 "Generic.ShellCode.RDI.Marte.4.DB887763 (B)" 来自于 "C:\Users\admin\Desktop\Fakeapp-New\Asx.exe -> (NSIS o) -> \TrustAsia\Config.ini"
4/13/2025 5:19:41 PM
扫描器检测 恶意软件 "Generic.ShellCode.RDI.Marte.4.231FCB50 (B)" 来自于 "C:\Users\admin\Desktop\Fakeapp-New\Asx.exe -> (NSIS o) -> \TrustAsia\Config2.ini"
4/13/2025 5:19:41 PM
扫描器检测 恶意软件 "QD:Trojan.GenericKDQ.447EEE812E (B)" 来自于 "C:\Users\admin\Desktop\Fakeapp-New\Asx.exe -> (NSIS o) -> \TrustAsia\Update.dll"
4/13/2025 5:19:41 PM
扫描器检测 恶意软件 "VBS.Heur.Laburrak.15.47260350.Gen (B)" 来自于 "C:\Users\admin\Desktop\Fakeapp-New\Asx.exe -> (NSIS o) -> \TrustAsia\Logs.vbs"
4/13/2025 5:19:41 PM
扫描器检测 恶意软件 "Generic.ShellCode.RDI.Marte.4.7D8425A8 (B)" 来自于 "C:\Users\admin\Desktop\Fakeapp-New\Asx.exe -> (NSIS o) -> Protected.json"
4/13/2025 5:19:41 PM
扫描器检测 恶意软件 "Generic.ShellCode.RDI.Marte.4.E6321A87 (B)" 来自于 "C:\Users\admin\Desktop\Fakeapp-New\Asx.exe -> (NSIS o) -> Protected.ini"

双击kill all

LSPD

eis

1. 2025/4/13 17:21:05;文件系统实时防护;文件;C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\Asx.exe;多个检测;已通过删除清除;DESKTOP-RE3BRFV\msi;在通过应用程序创建的新文件上发生了事件: C:\Program Files\WinRAR\WinRAR.exe (8423CFA3DCB6C5FC79093548C9DE38A5B5C0A894).;0BF4490E698B5E70222C33A872D14DA75005730F;
   
2. 2025/4/13 17:21:05;文件系统实时防护;文件;C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\qwe.exe;Win32/Agent.BO 潜在的不受欢迎应用程序 的变量;已通过删除清除;DESKTOP-RE3BRFV\msi;在通过应用程序创建的新文件上发生了事件: C:\Program Files\WinRAR\WinRAR.exe (8423CFA3DCB6C5FC79093548C9DE38A5B5C0A894).;9DAE1028F555F79024F989E49096CC9DE4C55BBF;2025/4/13 17:19:18
   
3. 2025/4/13 17:21:05;文件系统实时防护;文件;C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\qqq.exe;Suspicious Object;已通过删除清除;DESKTOP-RE3BRFV\msi;在通过应用程序创建的新文件上发生了事件: C:\Program Files\WinRAR\WinRAR.exe (8423CFA3DCB6C5FC79093548C9DE38A5B5C0A894).;6A18B8259F92C7AB28AF55DD4192CB9FA6678130;2025/4/13 17:19:09
   
4. C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\Asx.exe > NSIS > Script.nsi - PowerShell/Disabler.AP 特洛伊木马 - 已通过删除清除 [1]
   
5. C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\Asx.exe > NSIS > Config.ini - Win32/ShellCode.AA 特洛伊木马 - 已通过删除清除 [1]
   
6. C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\Asx.exe > NSIS > Config2.ini - Win32/ShellCode.AA 特洛伊木马 - 已通过删除清除 [1]
   
7. C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\Asx.exe > NSIS > TrustAsia.ps1 - PowerShell/Agent.CNL 特洛伊木马 - 已通过删除清除 [1]
   
8. C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\Asx.exe > NSIS > Update.dll - Win32/ShellcodeRunner.TS 特洛伊木马 的变量 - 已通过删除清除 [1]
   
9. C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\Asx.exe > NSIS > Logs.vbs - VBS/Runner.OZO 特洛伊木马 - 已通过删除清除 [1]
   
10. C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\Asx.exe > NSIS > SGuardSvc32.exe - Win32/ShellcodeRunner.TT 特洛伊木马 - 已通过删除清除 [1]
    
11. C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\Asx.exe > NSIS > Protected.json - Win32/ShellCode.AA 特洛伊木马 - 已通过删除清除 [1]
    
12. C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\Asx.exe > NSIS > Protected.ini - Win32/ShellCode.AA 特洛伊木马 - 已通过删除清除 [1]
    
13. C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\Asx.exe > NSIS > lats[过滤]-Latest.exe > NSIS > Script.nsi - MSIL/Lets[过滤].A 潜在的不受欢迎应用程序 - 已通过删除清除 [1]
    
14. C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\ca322dbc661fbf85a77afae94c0959adcd38361b09672724895d95046344af99.exe > INDIGOROSE > %AppFolder%\telegram\tdata\emoji\DuiLib.dll - Win32/Agent.AHER 特洛伊木马 的变量 - 已通过删除清除 [1]
    
15. C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\d9192f7fd5fb9d4966af9fe9dd248f6724e25a22423ec6787f9355167ae6eaa9.exe > ADVANCEDINSTALLER > YoudaoDictSetup1.cab > CAB > txt - Win32/Farfli.CMI 特洛伊木马 - 已通过删除清除 [1]
    
16. C:\Users\msi\Downloads\Fakeapp-New\Fakeapp-New\d9192f7fd5fb9d4966af9fe9dd248f6724e25a22423ec6787f9355167ae6eaa9.exe > ADVANCEDINSTALLER > YoudaoDictSetup1.cab > CAB > libcef.dll - Win32/ShellcodeRunner.SU 特洛伊木马 的变量 - 已通过删除清除 [1]

复制代码

blocked 1x miss 1x

ANY.LNK

微软剩一个aaa.exe，双击后创建了一堆，但test.sys和在公共音乐文件夹创建的行为被拦截后就没了动作

Lolo期待

卡巴斯基

Giftia

卡巴斯基优选版

ca322dbc661fbf85a77afae94c0959adcd38361b09672724895d95046344af99.exe
双击安装后拦截衍生物

1. 事件: 检测到恶意对象
   
2. 应用程序: QQ音乐辅助进程
   
3. 用户:
   
4. 用户类型: 发起者
   
5. 组件: 系统监控
   
6. 结果描述: 检测到
   
7. 类型: 木马
   
8. 名称: PDM:Exploit.Win32.Generic
   
9. 威胁级别: 高
   
10. 对象类型: 进程
    
11. 对象路径: C:\ProgramData\84BcA\KRoWn~f
    
12. 对象名称: QQMusicExternal.exe
    
13. 原因: 行为分析
    
14. 数据库发布日期: 今天，2025/4/13 上午5:31:00
    
15. MD5: F306692275B3E5922FA67A5E6A80FC6D
    

复制代码

ccc.exe miss 好像把用户账户控制（UAC）给关了

飞翔的蒲公英

安天杀毒扫描3个，实际隔离3个。双击正在进行中