又是仿冒正规远控的病毒2枚（应该都是银狐）

truetime

今天搜索一些远控的资料，突然回想起来10来年前用过的一款远控netman，就进行了一些搜索。百度一搜全是广告，就去bing看了看，bing国内版同样广告一堆，没啥看的，切换国际版，直接开头前2个链接一看就是仿冒todesk、向日葵的假冒软件。
其中仿冒向日葵的“软件程序1.2.1”（样本1），落地火绒杀。仿冒todesk的“ToDesk_bm189418028”（样本2）火绒没反应。

样本2我看VT和微步最早都被人传过，但是火绒却不杀，很奇怪。。。而且样本2，VT最早之前报8个，点了重新分析报6个，奇怪。。
因为微步对样本2没啥发现，再次上传奇安信沙箱和天穹，奇安信沙箱提示恶意，天穹提示安全，但是看分析过程，应该是有问题。
下载地址：
https://wacky.lanzoue.com/imyhg32b34wb           
PW：123


样本1：
微步：https://s.threatbook.com/report/ ... cf0b8fd02eed5c9106b
VT：报3个，https://www.virustotal.com/gui/f ... ed5c9106b/detection
样本2：
微步：https://s.threatbook.com/report/ ... ca2ed8c09c2be4c22f3
奇安信沙箱：https://sandbox.ti.qianxin.com/s ... ZhjZaZ_h6wn_HCyHrkk
天穹：https://sandbox.qianxin.com/tq/r ... cd7&sk=51401998
VT：https://www.virustotal.com/gui/f ... ca2ed8c09c2be4c22f3

truetime

补充，样本2微步我切换WIN764位系统进行分析，出东西了。

ulyanov2233

eset扫描miss all，第一个被卡巴击杀黑dll后自退，第二个在沙箱中报错，无法运行

事件: 对象的备份副本已创建
用户: NT AUTHORITY\SYSTEM
用户类型: 系统用户
应用程序名称: ekrn.exe
应用程序路径: C:\Program Files\ESET\ESET Security
组件: 文件反病毒
结果描述: 已创建备份副本
类型: 木马
名称: HEUR:Trojan.Win64.Agent.gen
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: eToken.dll
对象路径: C:\Sandbox\kasperky\virus111\user\current\Documents
对象的 MD5: 59F10DF2254471476A4729D601531117

00006666

样本2是360的流氓软件，报或者不报要看厂家。

00006666

ulyanov2233 发表于 2025-8-1 10:37
eset扫描miss all，第一个被卡巴击杀黑dll后自退，第二个在沙箱中报错，无法运行

eset一般会报360，你有没有开检测不需要的软件？

ulyanov2233

00006666 发表于 2025-8-1 10:43
eset一般会报360，你有没有开检测不需要的软件？

我不开潜在不受欢迎的，看着烦

00006666

ulyanov2233 发表于 2025-8-1 10:44
我不开潜在不受欢迎的，看着烦

那不报也正常

00006666

样本1肯定是有问题的，目测是银狐

ulyanov2233

00006666 发表于 2025-8-1 10:45
那不报也正常

我自己传样本会看是不是adware，但是论坛里其他人发的样本就不看了

00006666

ulyanov2233 发表于 2025-8-1 10:46
我自己传样本会看是不是adware，但是论坛里其他人发的样本就不看了

搜索置顶的广告有很多都是360和金山的流氓软件，说实话，病毒还很难找到。