银狐 1x

ulyanov2233

lsop1349987 发表于 2025-7-19 22:48
emsi双击显示第一次打开需要设置，打开界面后同2楼

这时候要呼叫那个实机双击测试的哥们了@jxfaiu ，这个样本反虚拟机又限定区域

GDHJDSYDH

EIS扫描miss，沙盒内运行冰盾和HMPA无反应，不清楚是不是我在国外的原因

jxfaiu

ulyanov2233 发表于 2025-7-19 22:56
这时候要呼叫那个实机双击测试的哥们了@jxfaiu ，这个样本反虚拟机又限定区域

双击


点确定

munsimli

jxfaiu 发表于 2025-7-20 06:51
双击

我虛擬機雙擊也是跑這個畫面，點ok過一段時間卡巴靜悄悄什麼也沒發生

莒县小哥

ulyanov2233

我把名字改回你在微步云上的样本名字，双击hmpa就拦截了。。。。双击卡巴也阻止

事件: 进程已终止
应用程序: Evil Client v1.5.1.1
用户: DESKTOP-RMLF8R4\kasperky
用户类型: 发起者
组件: 系统监控
结果描述: 已终止
类型: 木马
名称: PDM:Trojan.Win32.Generic
威胁级别: 高
对象类型: 进程
对象路径: C:\Users\kasperky\Desktop
对象名称: onoffbusnessl8.exe
MD5: 0E5F85833B5837F1192CC4F00160FC41

ulyanov2233

GDHJDSYDH 发表于 2025-7-20 02:16
EIS扫描miss，沙盒内运行冰盾和HMPA无反应，不清楚是不是我在国外的原因

我这边判断这个病毒做了名字校验，你试试看把名字改回这个onoffbusnessl8

，因为我同一台实体机，不改名就没有pdm阻止，改了名就阻止改了名字之后奇安信天穹检出:https://opentip.kaspersky.com/9C ... /results?tab=upload
op也检出:https://opentip.kaspersky.com/9C ... /results?tab=upload

LeeHS

cortex 双击miss，出现设置界面

lsop1349987

ulyanov2233 发表于 2025-7-20 12:05
我这边判断这个病毒做了名字校验，你试试看把名字改回这个onoffbusnessl8

，因为我同一台 ...

改名双击kill

1. 2025/7/20 13:06:39
   
2. 行为监控检测 可疑行为 "CryptoMalware" 来自于 C:\Users\user000\Desktop\onoffbusnessl8.exe (SHA1: AEC49208A1687E07CF78E068D46772CCFD9D11D2)
   
3. 2025/7/20 13:06:44
   
4. 恶意软件 "Bad reputation" 来自于 "C:\Users\user000\Desktop\onoffbusnessl8.exe" 已隔离。

复制代码

ulyanov2233

复测essp特征:

2025/7/20 19:17:43;文件系统实时防护;文件;C:\Users\Y8219\Downloads\9c3422dbe4500c8ed8929feefd3cd13003418bed2c3190c2875ef61052f4aa6c\9c3422dbe4500c8ed8929feefd3cd13003418bed2c3190c2875ef61052f4aa6c\9c3422dbe4500c8ed8929feefd3cd13003418bed2c3190c2875ef61052f4aa6c.exe;Win32/Agent.AHQQ 特洛伊木马 的变量;已通过删除清除;FIREFLY\Y8219;在通过应用程序创建的新文件上发生了事件: C:\Program Files\WinRAR\WinRAR.exe (3981554C0FD20782F0E8CA1A5921BD32296502E9).;AEC49208A1687E07CF78E068D46772CCFD9D11D2;2025/7/19 21:20:23