可疑 PyInstaller 样本

显示全部楼层 · 发表于 2025-8-13 12:47:57

本帖最后由 Romeo_Ahmed 于 2025-8-13 12:52 编辑

最近一打开电脑就会弹出命令行窗口，随后立即关闭。溯源后找到了这个可疑的 device.exe，在 System32 目录下，Pyinstaller打包，数字签名空白，Microsoft Defender 扫描无异常。
本人认为属于可疑文件，因为此前从未见到微软用 PyInstaller 打包系统文件，恳请坛友分析。

VirusTotal:：VirusTotal - File - fa8fe5a8e7052196cffd927c6cdbdf74797d98e724a262aa5c09a90952b37a9d
微步：样本报告-微步在线云沙箱
奇安信：奇安信情报沙箱

样本：device.7z - 蓝奏云解压密码：infected
文件名：device.exe
SHA256：FA8FE5A8E7052196CFFD927C6CDBDF74797D98E724A262AA5C09A90952B37A9D

显示全部楼层 · 发表于 2025-8-13 12:56:29

提示: 该帖被管理员或版主屏蔽

显示全部楼层 · 发表于 2025-8-13 15:01:07

eis miss

显示全部楼层 · 发表于 2025-8-13 17:17:23

360云引擎报毒，卡巴斯基扫描miss，KSN未知

显示全部楼层 · 发表于 2025-8-13 18:00:46

Microsoft ML：Trojan:Win32/Bearfoos.BE!ml

显示全部楼层 · 发表于 2025-8-13 18:06:16

ESET Smart Security Premium 解压不报，双击触发 LiveGuard 也不报，扫描也不报

2025/8/13 18:03:57;ESET 内核;ESET LiveGuard 正在分析文件，以确保其可安全使用。我们会在几分钟后给您发送通知。取消阻止文件(不建议)更改设置;NT AUTHORITY\ANONYMOUS LOGON
2025/8/13 18:04:39;ESET 内核;ESET LiveGuard 已完成分析文件。可以安全使用。;NT AUTHORITY\ANONYMOUS LOGON

扫描日志
检测引擎的版本: 31685 (20250813)
日期: 2025/8/13 时间: 18:05:23
已扫描的磁盘、文件夹和文件: W:\Sandbox\Admin\DefaultBox\drive\W\device\device.exe
用户: DESKTOP-K07940I\Admin
已扫描的对象数: 212
检测数: 0
完成时间: 18:05:24 总扫描时间: 1 秒 (00:00:01)

显示全部楼层 · 发表于 2025-8-13 20:37:18

暂时无法确定，看了很多沙箱，确实有不少沙箱里面有一些可疑行为和链接可疑网络的情况，但是无法确定是否必定产生这种行为，无法确定这种行为是否有害

显示全部楼层 · 发表于 2025-8-14 09:36:12

avast杀（也有可能是误报大王）

显示全部楼层 · 发表于 2025-8-14 15:39:56

卡巴无反应

显示全部楼层 · 发表于 2025-8-14 16:06:59

腾讯电脑管家不报

Romeo_Ahmed 头像被屏蔽	楼主\| 发表于 2025-8-13 12:56:29 \| 显示全部楼层提示: 该帖被管理员或版主屏蔽
Romeo_Ahmed 头像被屏蔽
	回复举报

[可疑文件] 可疑 PyInstaller 样本

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块