fake app wps(vt首发)

xth81

wormhole：https://wormhole.app/08PQ4v#1oOjzd2Df0CraybjHc8Stw
微步云沙箱样本报告-微步在线云沙箱
vt：VirusTotal - File - 3b14b81a520ff34d97cd0e1d0be84c6bd06cccc0999dfd5c4d84e2491e98dc57
密码：infected

Curve25519

ESET Smart Security Premium 解压没反应，扫描杀，双击也杀

扫描日志
检测引擎的版本: 31672 (20250810)
日期: 2025/8/11  时间: 11:34:21
已扫描的磁盘、文件夹和文件: W:\Sandbox\Admin\DefaultBox\drive\W\WPS_Setup_x64\WPS_Setup_x64.exe
用户: DESKTOP-K07940I\Admin
W:\Sandbox\Admin\DefaultBox\drive\W\WPS_Setup_x64\WPS_Setup_x64.exe > NSIS > RtgcAX.dll - Win64/Agent_AGen.FYL 特洛伊木马 的变量 - 已保留
已扫描的对象数: 165
检测数: 1
已清除的对象数: 0
完成时间: 11:34:22  总扫描时间: 1 秒 (00:00:01)
--------------------------------------------------------------------
2025/8/11 11:34:55;文件系统实时防护;文件;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\drive\W\WPS_Setup_x64\WPS_Setup_x64.exe;Win64/Agent_AGen.FYL 特洛伊木马 的变量;已通过删除清除;DESKTOP-K07940I\Admin;;1E007A385C45965ED040106ECE2351AE73F37A50;

PhozeAMTB

WD 扫描miss
双击 ASR

允许ASR后杀衍生物+虚拟机HMPA阻止

z80405789

瑞星云杀毒软件落地

a2650183122

冰盾扫出

UNknownOoo

火绒
扫描&运行未检出，手动内存扫描处理不完全

1. 病毒详情：
   
2. 风险路径：mem://12144-0x65603616-0x143480f0000-C:\Program Files (x86)\Microsoft\Edge\Application\139.0.3405.86\elevation_service.exe, 病毒名：Trojan/ShellLoader.yn, 病毒ID：7c6e14d6f23e98ae, 处理结果：处理成功，进程已结束
   

复制代码

xcvbaby

电脑管家

hansyu

UNknownOoo 发表于 2025-8-11 13:04
火绒
扫描&运行未检出，手动内存扫描处理不完全

想问一下，它这种是怎么利用的，我记得我查看这个进程是带有微软有效数字签名的，也没看见加载黑dll，这种是进程内存注入吗？

ongarabazanade

Avast-kill

UNknownOoo

hansyu 发表于 2025-8-11 17:02
想问一下，它这种是怎么利用的，我记得我查看这个进程是带有微软有效数字签名的，也没看见加载黑dll，这 ...

是的，直接注入Shellcode到其他进程内存的