fakeapp 3x 向日葵

显示全部楼层 · 发表于 2025-4-29 22:07:07

https://wormhole.app/kz1542#41fg71Ms2Ul9Y8Mux4IYcA

显示全部楼层 · 发表于 2025-4-30 13:45:38

最近这种比较多，基本都是启动项里放一个随机扩展名的文件，然后注册表里设置相关关联方式到特定白利用EXE里，对应的恶意代码在DLL里，这条链上理论上可以做无限扩展，看杀软能否找到最终的恶意程序。

显示全部楼层 · 发表于 2025-4-29 22:34:43

HMPA kill 2x miss 1x

1, HMPA kill [system process]13.exe - kernel32trap
sunloginclient_cn_xxx.exe -> wininit.exe -> services.exe -> msiexec.exe -> [system process]13.exe, callee getprocaddress, through system ntdll and kernel32

2, HMPA kill xrksetups64.exe - lockdown

HMPA kill 23jyxvioo7.exe - heapheapprotect
xrksetups64.exe -> 23jyxvioo7.exe -> hjrsu8o7.dll, callee allocatevirtualmemory

显示全部楼层 · 发表于 2025-4-29 22:39:11

火绒

显示全部楼层 · 发表于 2025-4-29 22:45:49

本帖最后由 lsop1349987 于 2025-4-30 12:37 编辑

avast扫描miss双击
Emsisoft Enterprise Security + EDR 双击多次重启，确认恶意后修正威胁，被断网最终结果如图

显示全部楼层 · 发表于 2025-4-29 23:00:30

腾讯电脑管家 2X

显示全部楼层 · 发表于 2025-4-29 23:08:18

本帖最后由呼啸山庄于 2025-4-29 23:24 编辑

ESET Internet Security 18.1.10.0
仅扫描 2x（其中存在一个多个检测）

扫描日志
检测引擎的版本: 31115P (20250429)
日期: 2025/4/29 时间: 22:57:28
已扫描的磁盘、文件夹和文件: D:\MalwareSamples\bbs.kafan.cn\2281067\20250429fakeapp
用户:
D:\MalwareSamples\bbs.kafan.cn\2281067\20250429fakeapp\SunloginClienr_15.8.0.18235_v1.7.6.msi > MSI > disk1.cab > CAB > update.cab - Win32/Farfli.DHP 特洛伊木马 - 已将选择操作推迟到扫描完成后进行
D:\MalwareSamples\bbs.kafan.cn\2281067\20250429fakeapp\SunloginClienr_15.8.0.18235_v1.7.6.msi > MSI > disk1.cab > CAB > iplay.dll - ML/Augur 特洛伊木马 - 已将选择操作推迟到扫描完成后进行
D:\MalwareSamples\bbs.kafan.cn\2281067\20250429fakeapp\XRKSetups64.exe > INNO - Win32/TrojanDropper.Agent.TAN 特洛伊木马的变量 - 已通过删除清除 [1]
D:\MalwareSamples\bbs.kafan.cn\2281067\20250429fakeapp\SunloginClienr_15.8.0.18235_v1.7.6.msi > MSI > disk1.cab > CAB > update.cab - Win32/Farfli.DHP 特洛伊木马 - 已删除
D:\MalwareSamples\bbs.kafan.cn\2281067\20250429fakeapp\SunloginClienr_15.8.0.18235_v1.7.6.msi > MSI > disk1.cab > CAB > iplay.dll - ML/Augur 特洛伊木马 - 已删除
已扫描的对象数: 1170
检测数: 3
已清除的对象数: 3
完成时间: 22:58:49 总扫描时间: 81 秒 (00:01:21)

备注:
[1] 由于对象中仅包含病毒主体，因此已被删除。

SunloginClient_CN_pl_15.17603_x64.msi 右键提交了

卡巴斯基加强版 21.21.7.384 数据库发布日期: 2025/4/29 22:35
解压 2x

事件: 检测到恶意对象
用户:
用户类型: 发起者
应用程序名称: 7z.exe
应用程序路径: C:\Program Files\PeaZip\res\bin\7z
组件: 文件反病毒
结果描述: 检测到
类型: 木马
名称: UDS:Trojan.OLE2.Alien.gen
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: SunloginClient_CN_pl_15.17603_x64.msi
对象路径: D:\MalwareSamples\bbs.kafan.cn\2281067\20250429fakeapp
对象的 MD5: 8844E4F48758B03AE29E509712AB140D
原因: 云保护

事件: 检测到恶意对象
用户: DESKTOP-UMR3IP9\P02-1
用户类型: 发起者
应用程序名称: 7z.exe
应用程序路径: C:\Program Files\PeaZip\res\bin\7z
组件: 文件反病毒
结果描述: 检测到
类型: 木马
名称: UDS:Backdoor.Win32.Farfli
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: XRKSetups64.exe
对象路径: D:\MalwareSamples\bbs.kafan.cn\2281067\20250429fakeapp
对象的 MD5: CA195CF41609DB0977E714A445DF2249
原因: 云保护

显示全部楼层 · 发表于 2025-4-29 23:20:40

McAfee扫描全漏

显示全部楼层 · 发表于 2025-4-30 06:10:15

卡巴清空

显示全部楼层 · 发表于 2025-4-30 07:49:14

显示全部楼层 · 发表于 2025-4-30 09:18:40

腾管杀exe，剩下两个msi 卡巴杀

[病毒样本] fakeapp 3x 向日葵

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源