fake 有道 x1 VT4

xu126yx

https://wormhole.app/9XLN64#VrQjxcU3iBFkKKCDNzKxXQ
https://www.virustotal.com/gui/f ... 8f905e74bfde694c075
infected

UNknownOoo

火绒
运行

1. 病毒名称：Trojan/ShellLoader.wn
   
2. 病毒ID：02D0C449758BE6FF
   
3. 虚拟地址：0x000000008D370000
   
4. 映像大小：7.5MB
   
5. 是否完整映像：否
   
6. 数据流哈希：b2afc382
   
7. 操作结果：处理失败，SFC进程未处理
   
8. 进程ID：9016
   
9. 操作进程：C:\Windows\System32\wbem\WmiApSrv.exe
   

复制代码

1. 防护项目：服务/驱动配置项
   
2. 操作类型：修改
   
3. 数据内容：cmd /c cd /d "C:\ProgramData\design_\temp-bin" && start "" "C:\ProgramData\design_\temp-bin\IPsKe.exe"
   
4. 目标注册表：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\dQooQMor\ImagePath
   
5. 操作结果：已允许
   

复制代码

1. 风险分类：木马盗号
   
2. 访问网址：zhdbl.mlcrosoft.cyou/
   
3. 操作结果：已阻止
   
4. 
   
5. 进程ID：9016
   
6. 操作进程：C:\Windows\System32\wbem\WmiApSrv.exe
   

复制代码

1. 风险分类：木马盗号
   
2. 访问网址：zhdbl.mlcrosoft.cyou/
   
3. 操作结果：已阻止
   
4. 
   
5. 进程ID：2344
   
6. 操作进程：C:\Windows\System32\svchost.exe
   

复制代码

1. 病毒名称：Trojan/ShellLoader.wn
   
2. 病毒ID：02D0C449758BE6FF
   
3. 虚拟地址：0x0000000097D00000
   
4. 映像大小：3.1MB
   
5. 是否完整映像：是
   
6. 数据流哈希：fd37ba6
   
7. 操作结果：处理成功，进程已结束
   
8. 进程ID：3756
   
9. 操作进程：C:\ProgramData\design_\temp-bin\IPsKe.exe
   

复制代码

1. 病毒名称：HEUR:Trojan/ShellLoader.td
   
2. 病毒ID：5406ECEC9A934C94
   
3. 虚拟地址：0x0000000099340000
   
4. 映像大小：6.8MB
   
5. 是否完整映像：是
   
6. 数据流哈希：fd37ba6
   
7. 操作结果：处理失败，进程结束失败
   
8. 进程ID：3756
   
9. 操作进程：C:\ProgramData\design_\temp-bin\IPsKe.exe
   

复制代码

飞翔的蒲公英

安天：miss
卡巴斯基扫描miss，双击后安装结束，没有主防弹窗。

jxfaiu

解压秒

lsop1349987

emsisoft

1. 2025/6/15 19:17:44
   
2. 恶意软件 "Behavior.HiddenInstallation" 来自于 "C:\Users\user\AppData\Local\Temp\is-50PCD.tmp\yjquyeeth-5.1.5.tmp" 已隔离。

复制代码

PhozeAMTB

WD

tousu

UNknownOoo 发表于 2025-6-15 18:48
火绒
运行

这里有的处理成功有的处理失败，那么最后是防住了还是没防住？

UNknownOoo

tousu 发表于 2025-6-15 19:42
这里有的处理成功有的处理失败，那么最后是防住了还是没防住？

有响应但处理不完全，另外火绒似乎有对这族样本进行加固（不排除样本对火绒特殊照顾），注入sihost进程这步复现不了了，最终是样本本身外联后被内存防护终止进程了，当然WmiApSrv进程和部分svchost进程和文件注册表什么的肯定处理不了（卡巴斯基环境最终是注入了sihost后外联的）

tousu

UNknownOoo 发表于 2025-6-15 19:46
有响应但处理不完全，另外火绒似乎有对这族样本进行加固（不排除样本对火绒特殊照顾），注入sihost进程这 ...

OK,感谢解答

inhh1

BD ATD杀衍生