假WPS

Rukia

hxxps://sfdja[.]com/
hxxps://cd5s7b9.oss-ap-southeast-1[.]aliyuncs.com/WPS%20-Office[.]zip

WPS -Office.exe
https://wormhole.app/bLQ3am#-jEKvnDkFjdf5DgwptPZkQ
密码：infected

MD5      75364308A074B5BD483ABF783E835310
SHA1     6F756689354F9AEE4F8D803A53F97FD90B73B398
SHA256    3D78C97D6376CBD1DCAB4559E476AF94344890F190A4128C06E19C05055DC23D

https://www.virustotal.com/gui/f ... 28c06e19c05055dc23d





hxxps://ws-wps[.]com/
hxxps://ws-wps.com/js/WPS-Win64.zip

WPS-Win64.exe

MD5       383188F3E0B7AA4DEBB6B4C1C3922AD8
SHA1      B24DD633615FD292DE3B52E7FB3676B6EB3A97B6
SHA256    897C02E017246836B1E1E7085554FF27FE9092653FC72C31952BB5F61C8DBB18


https://wormhole.app/AYpN21#vp51KhBnulS22FRNIApwNA
密码：infected

https://www.virustotal.com/gui/f ... 61c8dbb18?nocache=1

PhozeAMTB

WD

xjwtzq

安天  木马

awsl10000次

op目前两个全过
https://opentip.kaspersky.com/22 ... /results?tab=upload
https://opentip.kaspersky.com/2E ... /results?tab=upload
第二个链接还是像之前一样hash没变，没解压也没跑成功，不知道为什么
现在两个全红，非常离谱，第二个链接最开始明明都没解压...

wywt123

awsl10000次 发表于 2025-5-17 20:36
op目前两个全过
https://opentip.kaspersky.com/22 ... /results?tab=upload
https://opentip.kaspersky. ...

https://opentip.kaspersky.com/3D ... /results?tab=lookup
https://opentip.kaspersky.com/89 ... /results?tab=lookup

awsl10000次

wywt123 发表于 2025-5-17 21:22
https://opentip.kaspersky.com/3D78C97D6376CBD1DCAB4559E476AF94344890F190A4128C06E19C05055DC23D/res ...

我一开始的时候关注了这两个
上传压缩包并且动态跑完以后报clean的时期样本是灰色的，然后过了大概10min这两个样本变红随机压缩报的file栏也出现红色
3D78C97D6376CBD1DCAB4559E476AF94344890F190A4128C06E19C05055DC23D
最开始只有Trojan.Win64.Agent.sb的报法，现在加上了Trojan.Win32.Agent.sb和Trojan.Win64.Agent.smeidy
奇怪的是看时间线，特征好像出现在另一个沙盒报法之前
好像和那个pdm记录有关，可能是饭友双击以后自动上报了又加了一个新的沙箱特征？

UNknownOoo

火绒
文件监控 ALL

1. 病毒名称：HEUR:TrojanDropper/Agent.yn
   
2. 病毒ID：712DD909F6690D2C
   
3. 病毒路径：C:\Users\User\AppData\Local\Temp\BNZ.6828912e3f3d7\WPS -Office.exe
   
4. 操作类型：修改
   
5. 操作结果：暂不处理
   

复制代码

1. 病毒名称：Trojan/FakeApp.fg
   
2. 病毒ID：524E9FDB97EEB31D
   
3. 病毒路径：C:\Users\User\AppData\Local\Temp\BNZ.682891704f578\WPS-Win64.exe
   
4. 操作类型：修改
   
5. 操作结果：暂不处理
   

复制代码

GDHJDSYDH

EIS解压秒杀

123456aaaafsdeg

wywt123

awsl10000次 发表于 2025-5-17 21:28
我一开始的时候关注了这两个
上传压缩包并且动态跑完以后报clean的时期样本是灰色的，然后过了大概10min ...

Trojan.Win64.Agent.sb这个应该是沙箱自动分类的报法
Trojan.Win64.Agent.smeidy这个是正式入库的名字
.sb我猜是sandbox?
因为传op首次检出的玩意好像都显示.sb后缀，然后过一会就命名入库了