fake Chrome 3X

wowocock

UNknownOoo 发表于 2025-9-29 16:54
感觉是很标准的持久化 + 分离加载Shellcode的方法，vt上静态检出率居然这么低...

wcscat_s(Filename, 0x104u, L"1.txt");,他的危险动作都在这个SHELLCODE的文件里，也不加密，知道你们不会传这个1.txt上去，里面还带个木马驱动，这上去才是一片红
https://www.virustotal.com/gui/f ... 39ac081482128b5121a

wowocock

UNknownOoo 发表于 2025-9-29 16:54
感觉是很标准的持久化 + 分离加载Shellcode的方法，vt上静态检出率居然这么低...

内带的驱动抄自 https://github.com/JKornev/hidden，隐藏文件注册表等。

wowocock

UNknownOoo 发表于 2025-9-29 16:31
火绒
扫描：未检出

他还有进程保护，火绒扫描他的SHELLCODE 会杀进程，他之前就起了隐藏的cmd，不断的运行他的bat去检测运行自己的进程
@echo off
@set "file=matty.exe"
for /f "delims=" %%I in ("%file%") do set "image=%%~nxI"
:begin
tasklist|find /i "%image%"
if "%errorlevel%"=="1" start "" "C:\ProgramData\1aORPL\matty.exe"
goto begin

wowocock

处理也简单，只要干掉注册表中
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
MyApplication = C:\ProgramData\1aORPL\matty.exe
这个键即可。另外最好把这一套白利用文件都删了。

heavencc

数字扫描kill all

1. C:\Users\pathe\Desktop\法克chrome3\Chrome.exe        木马程序(Trojan.Generic)        已删除
   
2. C:\Users\pathe\Desktop\法克chrome3\ChromeSetup-8679.msi        感染型病毒(Win32/Trojan.Agentb.HnoAT4gA)        已删除
   
3. C:\Users\pathe\Desktop\法克chrome3\ChromeSetup.exe        感染型病毒(Win32/Trojan.Generic.HgIAT4gA)        已删除
   

复制代码

lsop1349987

EMSI解压双击

1. 2025/9/29 21:06:51
   
2. 实时监控检测 恶意软件 "Gen:Variant.Lazy.698771 (B)" 来自于 C:\Users\user000\Desktop\法克chrome3\ChromeSetup.exe (SHA1: 3386A7EA0D6C3CC4236174689DCEDB19A10C74B0)
   
3. 
   
4. 2025/9/29 21:10:44
   
5. 行为监控检测 可疑行为 "HiddenInstallation" 来自于 C:\Users\user000\Desktop\法克chrome3\Chrome.exe (SHA1: A4B028367373A4C25A33C1F154DAD9099D20332E)
   
6. 
   
7. 2025/9/29 21:11:05
   
8. 实时监控检测 恶意软件 "Generic.ShellCode.RDI.Marte.4.566553BF (B)" 来自于 C:\ProgramData\1aORPL\1.txt (SHA1: A875202C7DAC9995364AD4B4B8A74B7073752D9A)
   
9. 
   
10. 2025/9/29 21:11:08
    
11. 行为监控检测 可疑行为 "AutorunCreation" 来自于 C:\ProgramData\1aORPL\matty.exe (SHA1: 928C3E6579445B41CF9DA80792AC6561171A51CD)

复制代码

lingchenheiye

火绒高启发kill 1x，miss 2x

朱原睿

重新发一个，链接没用了

biue

腾讯电脑管家 3X