github上发现的伪装成正常发布包的可疑lua脚本

显示全部楼层 · 发表于前天 21:01

显示全部楼层 · 发表于前天 21:25

检测到威胁，这是哪门子报法

显示全部楼层 · 发表于前天 21:26

360:0

显示全部楼层 · 发表于前天 22:20

#SmartLoader
1st stage C2: 213.176.73.80,94.156.114.56
https://www.trendmicro.com/en_us ... b-repositories.html

显示全部楼层 · 发表于前天 23:30

XywCloud 发表于 2025-5-7 22:20
#SmartLoader
1st stage C2: 213.176.73.80,94.156.114.56
https://www.trendmicro.com/en_us/research/2 ...

https://bbs.kafan.cn/thread-2278588-1-1.html
好像跟这个帖子的样本差不多，不过我没对比哈希。
我这边dr.web只是杀了JS

显示全部楼层 · 发表于前天 23:46

腾讯电脑管家 1X

显示全部楼层 · 发表于昨天 01:13

S1 1x

显示全部楼层 · 发表于昨天 08:44

驭龙发表于 2025-5-7 23:30
https://bbs.kafan.cn/thread-2278588-1-1.html
好像跟这个帖子的样本差不多，不过我没对比哈希。
我这 ...

那是lua脚本（虽然看起来和javascript很像），而且这东西去年就有，我还写过公众号文章。只不过当时我拿到的是编译后的lua字节码，现在病毒作者不装了，觉得直接放出混淆后的lua代码也没啥关系

显示全部楼层 · 发表于昨天 10:46

解压后4个文件：
安天：
userdata.txt报毒Trojan/Data.Agent
Launcher.bat报毒Trojan/BAT.Runner

显示全部楼层 · 发表于昨天 10:51

XywCloud 发表于 2025-5-8 08:44
那是lua脚本（虽然看起来和javascript很像），而且这东西去年就有，我还写过公众号文章。只不过当时我拿 ...

我没打开文件，只是看dr.web报的是JS，所以不准确，嘿嘿，见笑了

[病毒样本] github上发现的伪装成正常发布包的可疑lua脚本