最新截获的木马样本，已上报360、腾讯管家、火绒、微步

1432447293

通过网盘分享的文件：汉化木马样本包.zip
链接: https://pan.baidu.com/s/1udTWo7ZYtbNFntqnh9NQrA 提取码: uk5k

https://cloud.189.cn/web/share?code=zaEzu27vEVJv（访问码：9pmb）

最近几天我吧该家族的木马传到腾讯情报安全中心分析，目前对方的香港服务器已经禁止了腾讯情报安全中心的访问


该木马的组件下载服务器103.68.181.215隶属于香港葵芳集团有限公司 ，但是很无奈，葵芳集团有限公司 没有任何联系方式，无法封禁对方服务器。

martin1230

朋友，你好像忘记设置密码了！

martin1230

卡巴解压2x，剩余扫描miss，双击1x，剩余3由于其中一个触发pdm导致高级清理，现在剩余3个双击均杀衍生物！
事件: 对象已删除
用户: DESKTOP-R10ACH3\Administrator
用户类型: 发起者
应用程序名称: wd1.exe
应用程序路径: C:\Users\Public\403
组件: 文件反病毒
结果描述: 已删除
类型: 木马
名称: Trojan-Downloader.Python.Agent
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: qd.jpg
对象路径: C:\Users\Public\403\Python
对象的 MD5: C36C7B5A5772A25D6BFFAB7B9433A150
剩余三个上报opentip，全红！

zfc234

S1 击杀

GDHJDSYDH

等分流。还有下次记得别用百度网盘，用蓝奏云或者Wormhole

心醉咖啡

火绒

呼啸山庄

GDHJDSYDH 发表于 2025-5-8 02:11
等分流。还有下次记得别用百度网盘，用蓝奏云或者Wormhole

分流来啦（压缩包我加了密码）：https://wwim.lanzouo.com/iHRxL2vnnqri

略略略12138

BD

呼啸山庄

MD默认设置（虚拟机）
解压2x
执行1x

莒县小哥

fever腾腾

毒霸

飞翔的蒲公英

安天：

解压：隔离2x
Riskware/Win32.Agent
Trojan/Win32.Kepavll

双击：阻止3个。其中两个触发恶意MSI安装包拦截。
2025-05-08 10:37:33    发现威胁   
行为: 进程行为
处置: 阻止
处置结果: 已阻止
威胁等级: 3
客体: C:\Windows\explorer.exe
主体: C:\Windows\System32\msiexec.exe
行为tag: 启动进程

2025-05-08 10:37:47    发现威胁   
行为: 进程行为
处置: 阻止
处置结果: 已阻止
威胁等级: 3
客体: C:\Windows\explorer.exe
主体: C:\Windows\System32\msiexec.exe
行为tag: 启动进程

GDHJDSYDH

EIS扫描2x，沙盒内运行剩下1x提醒联网+击杀衍生物，拦截联网后样本报错自退

1073328164

能不能加个密码，浏览器拦截完杀软拦截，每次都得去隔离区恢复
迈克菲扫描 kill 4x

GDHJDSYDH

1073328164 发表于 2025-5-8 12:51
能不能加个密码，浏览器拦截完杀软拦截，每次都得去隔离区恢复
迈克菲扫描 kill 4x

值得吐槽的是，这个包里面有几个重复的，实际上只有3个样本

scottxzt

GDHJDSYDH 发表于 2025-5-8 13:20
值得吐槽的是，这个包里面有几个重复的，实际上只有3个样本

对的

scottxzt

很多真的不如智量，智量做个辅助搭配没有话说，特别对哪些没有智能HIPS的

还有二个红伞扫描报

1073328164

GDHJDSYDH 发表于 2025-5-8 13:20
值得吐槽的是，这个包里面有几个重复的，实际上只有3个样本

的确，我都没注意里面扫出来的样本报毒名都是同一个，迈克菲只有在样本完全相同的情况下才会报同一个报毒名

ekincheng

AnhLab V3 9.0 :MISS    all（ 全部未扫描出）

1432447293

ekincheng 发表于 2025-5-8 18:22
AnhLab V3 9.0 :MISS    all（ 全部未扫描出）

提交给各大杀毒软件厂商了，最开始截获的时候每一个能查杀的