fakeapp1x vt=0

Rukia

ulyanov2233 发表于 2025-7-14 13:07
黑dll给他们发了吗

后来发了，还是说是clean

ulyanov2233

Rukia 发表于 2025-7-14 13:10
后来发了，还是说是clean

我刚刚传了malware bazzar 一堆沙箱报毒，不应该啊，连奇安信都抓出来恶意行为了

该样本文件名为chrome_elf.dll，MD5、SHA1、SHA256和CRC32等哈希值均已被记录。样本在Windows11 64位系统上运行，环境包括多种办公软件和浏览器。样本没有PE签名，但命中了几个Yara规则，表明其具有一定的隐蔽性和潜在的恶意行为。

样本的动态行为显示其具有高度的隐蔽性和潜在的恶意意图。首先，样本通过SyStem.exe创建了一个新的进程33406543.exe，并使用powershell.exe执行了一个复杂的脚本，该脚本注册了一个在用户登录时运行的任务。这表明样本试图在用户不知情的情况下持续运行。

样本在运行过程中表现出多种敏感行为，包括遍历系统目录以查找潜在的感染目标，频繁调用系统函数如NtCreateFile，以及写入多个脚本文件到用户的临时目录。这些行为表明样本可能试图植入恶意代码或进行数据收集。此外，样本还尝试变更进程权限，这可能用于提升其权限以执行更危险的操作。

总体而言，该样本的行为显示出高度的隐蔽性和潜在的恶意意图，其目的是在用户系统中植入恶意代码或进行数据收集。建议用户加强系统的安全防护，定期更新软件和操作系统，以及使用可靠的反病毒软件进行检测和清除潜在威胁。

lsop1349987

emsi双击miss，edr报告如图

ulyanov2233

lsop1349987 发表于 2025-7-14 16:41
emsi双击miss，edr报告如图

这个样本够离谱了，现在还是vt0.@图钉鱼 你要不要来看看

Lolo期待

卡巴斯基扫描miss，KSN未知

ulyanov2233

火绒回信已经处理了：

远控病毒1x 产生的衍生物1x

发件人：seclab <seclab@huorong.cn>          
时   间：2025年7月14日（星期一）下午6 : 02        纯文本 |  
收件人：
111
您好~恶意文件已处理，近期病毒库升级后可查杀，感谢您的反馈和支持~

Rukia

ulyanov2233 发表于 2025-7-14 18:12
火绒回信已经处理了：

我又创建了一个工单，总不能还说文件是"干净"的吧。

ulyanov2233

Rukia 发表于 2025-7-14 21:14
我又创建了一个工单，总不能还说文件是"干净"的吧。

我现在觉得bd的工程师这次确实有问题，同样是把黑dll和安装包发出去，火绒都处理了，bd居然认为clean

ulyanov2233

Lolo期待 发表于 2025-7-14 17:47
卡巴斯基扫描miss，KSN未知

卡巴现在拉黑了，我下午写了邮件过去，先拉黑的黑dll再拉黑安装包，成为vt上第一个检测出的杀软

图钉鱼

过期了，150多MB。。。。。。看了头疼