fake wps 1x vt首发:4/69 Win64/Kryptik.ETA

ulyanov2233

https://qfile.qq.com/q/pdld41t3hK 密码:infected
毒网地址:hxxps://ooc.eyjwl.cn/# 目前解析到：hxxps://ooc.eyjwl.cn/WPS_Setup_218881_install.exe  ip：154.212.128.75  ipvt上一家报恶意:VirusTotal - IP address - 154.212.128.75
vt:https://www.virustotal.com/gui/f ... 65e7ac0cb?nocache=1
其实我也不是很确定这玩意是不是病毒，不过这东西签名是无效的，被奇安信沙箱抓了一堆可疑行为 https://sandbox.ti.qianxin.com/s ... ffcb3a8cd90e47c9d87
vt上esetkill了。我手上的essp不杀

扫描日志
检测引擎的版本: 31495 (20250709)
日期: 2025/7/9  时间: 11:12:31
已扫描的磁盘、文件夹和文件: C:\Users\Y8219\Downloads\WPS_Setup_218881_install.exe
用户: FIREFLY\Y8219
已扫描的对象数: 1
检测数: 0
完成时间: 11:12:31  总扫描时间: 0 秒 (00:00:00)

莒县小哥

lsop1349987

emsi+hmpa双击

1073328164

迈克菲扫描 miss

ulyanov2233

卡巴斯基云拉黑毒网

事件: 访问网站被阻止
用户: FIREFLY\Y8219
用户类型: 发起者
应用程序名称: msedge.exe
应用程序路径: C:\Program Files (x86)\Microsoft\Edge\Application
组件: 安全浏览
结果描述: 已阻止
类型: 恶意链接
名称: hxxps://ooc.eyjwl.cn/
精确度: 确切
威胁级别: 高
对象类型: 网页
对象路径: hxxps://ooc.eyjwl.cn
原因: 云保护

对于这个安装包扫描还是miss,给卡巴发了邮件十分钟后，uds云拉黑

事件: 检测到恶意对象
用户: FIREFLY\Y8219
用户类型: 活动用户
组件: 病毒扫描
结果: 检测到
结果描述: 检测到
类型: 木马
名称: UDS:Trojan.Win32.Gatak.git
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: data0000
对象路径: C:\Users\Y8219\Downloads\WPS_Setup_218881_install\WPS_Setup_218881_install.exe//
对象的 MD5: E79CF884EC306A4C2F541A6A82DD2E97
原因: 哈希
数据库发布日期: 今天，2025/7/9 10:34:00

根据这个样本我发现，vt上eset的病毒库比实机快一个版本，31495这个版本怎么都不杀，

扫描日志
检测引擎的版本: 31495 (20250709)
日期: 2025/7/9  时间: 11:38:26
已扫描的磁盘、文件夹和文件: C:\Users\Y8219\Downloads\WPS_Setup_218881_install.exe
用户: FIREFLY\Y8219
已扫描的对象数: 1
检测数: 0
完成时间: 11:38:26  总扫描时间: 0 秒 (00:00:00)

但是这个时候vt上显示eset已经杀了这个样本了，我点了好几次更新就是没有31496，一直到刚刚自动更新31496

2025/7/9 10:40:01;已由计划任务触发更新。
2025/7/9 10:59:27;已由用户在更新页面上触发更新。
2025/7/9 11:40:01;已由计划任务触发更新。
2025/7/9 11:48:03;已由用户在更新页面上触发更新。
2025/7/9 12:40:01;已由计划任务触发更新。
2025/7/9 13:40:01;已由计划任务触发更新。
2025/7/9 14:06:04;已由用户在更新页面上触发更新。
2025/7/9 14:06:23;检测引擎 已成功更新至版本 31496 (20250709)。
2025/7/9 14:06:23;翻译支持模块 已成功更新至版本 2050 (20250627)。
2025/7/9 14:06:23;快速响应模块 已成功更新至版本 26593 (20250709)。

31496 kill

检测引擎的版本: 31496 (20250709)
日期: 2025/7/9  时间: 14:06:34
已扫描的磁盘、文件夹和文件: C:\Users\Y8219\Downloads\WPS_Setup_218881_install.exe
用户: FIREFLY\Y8219
C:\Users\Y8219\Downloads\WPS_Setup_218881_install.exe > INNO > {userappdata}\bNqA  .exe > INNO > {userappdata}\Microsoft\SystemCertificates\MS-Update-Catalog-Signing_b373f712.crt - Win64/Kryptik.ETA 特洛伊木马 的变量 - 已保留
C:\Users\Y8219\Downloads\WPS_Setup_218881_install.exe > INNO > {userappdata}\lxlT .exe > NSIS > ___ - Win32/KingSoft_AGen.BJ 潜在的不受欢迎应用程序 的变量 - 已保留
已扫描的对象数: 56
检测数: 2
已清除的对象数: 0
完成时间: 14:07:40  总扫描时间: 66 秒 (00:01:06)

ulyanov2233

lsop1349987 发表于 2025-7-9 13:37
emsi+hmpa双击

hmpa这是拦截了吗？

munsimli

ulyanov2233 发表于 2025-7-9 13:54
卡巴斯基云拉黑毒网
对于这个安装包扫描还是miss,给卡巴发了邮件十分钟后，uds云拉黑

還觸發了高級清毒技術重開機全盤掃描

jxfaiu

扫描杀

吃瓜群众第123位

Dr.Web miss

inhh1

BD Killed