群友提供的可疑压缩包

GDHJDSYDH

压缩包 VT 37：VirusTotal - File - 84be2d113e05bf9384da71eabb445f5e75e5680b3ce1d85ad90c599b0cc204e4
解压后ESET杀壳秒杀一个exe，HMPA阻止这个exe的Syscall操作，这个exe可能存在注入或者反沙箱
另外一个可疑的exe被HMPA视为恶意软件而阻止
样本：https://wormhole.app/E43Z6k#rSN1QAoVV5rsDZD-GYZYJw

莒县小哥

略略略12138

BD

aikafans

fsp双击

2025/5/23 9:19:03
P2P Party v1.exe   
TR/Crypt.ZPACK.Gen2

Loyisa

卡巴斯基 双击miss 感觉是正常工具，但是上了个强壳

1073328164

迈克菲 kill

UNknownOoo

火绒
扫描：未检出
运行：内存防护检出（无法处理）

1. 病毒名称：Backdoor/Lotok.hq
   
2. 病毒ID：B35F8056F0F9810C
   
3. 虚拟地址：0x0000000000600000
   
4. 映像大小：404KB
   
5. 是否完整映像：否
   
6. 数据流哈希：96e4e91b
   
7. 操作结果：已处理
   
8. 进程ID：2844
   
9. 操作进程：C:\Windows\explorer.exe
   

复制代码

另外“已处理”≠ “处理成功”

1. 发现风险：2
   
2. 已处理风险：2
   
3. 病毒详情：
   
4. 风险路径：mem://5408-0x5f920924-0x5a60000-C:\Windows\explorer.exe, 病毒名：Backdoor/Lotok.ei, 病毒ID：dfc147455acd4b43, 处理结果：处理失败，SFC进程未处理
   
5. 风险路径：mem://2844-0x96e4e91b-0x600000-C:\Windows\explorer.exe, 病毒名：Backdoor/Lotok.hq, 病毒ID：b35f8056f0f9810c, 处理结果：处理失败，SFC进程未处理
   

复制代码

GDHJDSYDH

UNknownOoo 发表于 2025-5-23 19:09
火绒
扫描：未检出
运行：内存防护检出（无法处理）

这是运行了其中哪个exe？还注入到资源管理器了？

UNknownOoo

GDHJDSYDH 发表于 2025-5-23 21:55
这是运行了其中哪个exe？还注入到资源管理器了？

注入了资源管理器后又拉起了一个资源管理器进程进行注入

biue

腾讯电脑管家 1X