假的搜狗输入法2x

Rukia

钓鱼网站: hxxps://shurufa-sogou[.]org/download[.]html实际下载：hxxps://sg.storage.bunnycdn[.]com/sddds/%E6%90%9C%E7%8B%97%E8%BE%93%E5%85%A5%E6%B3%95.exe?accessKey=567e3cae-3d94-4f9f-968688b7e527-01fe-423b&download



搜狗输入法.exe
签名有效但假冒  Yongji Xiaodong Network Technology Co., Ltd.
1DD242629B0967CC9C8313C1E27D1EF4B8AF49001C9BE9BD809F75CD159D487A （emm，VT和我用Powershell计算的哈希值不一样）
利用C:\escsvc\escsvc.exe 来执行无文件攻击

https://wormhole.app/l3OMN5#ArYOGYdf_e67C2dlSBMZ9w
解压密码 infected

——————————————————
hxxps://sogouc-zq[.]com/
hxxps://sogouc-zq[.]com/assets/download/sogou_pinyin_guanwang15.36.99[.]zip

https://wormhole.app/qzOd8o#xIXSJyRILgZoTjMEESUPIg
解压密码 infected

ulyanov2233

没签名的这个essp kill

C:\Users\Y8219\Downloads\sogou_pinyin_guanwang15.36.99\sogou_pinyin_guanwang15.36.99.exe > INDIGOROSE > %AppFolder%\hdtjutkjdt (1).exe > NSIS > Script.nsi - Win64/Agent.GXJ 特洛伊木马 - 已通过删除清除 [1]

aboringman

ulyanov2233 发表于 2025-10-6 23:49
没签名的这个essp kill

2025/10/7 0:11:22;C:\Users\123aaa\Desktop\搜狗输入法.exe;157.2 MB;VBS/Agent.TNJ 特洛伊木马;1;  044952F6F71AFE349FC775058F20CF61BB294BCF

2025/10/7 0:11:13;C:\Users\123aaa\Desktop\sogou_pinyin_guanwang15.36.99.exe;172.0 MB;Win64/Agent.GXJ 特洛伊木马;1;  D8EA7FC52ED5EFD5956C1E00AE7AA7AC761A42AD

1. C:\Users\123aaa\Desktop\sogou_pinyin_guanwang15.36.99.exe > INDIGOROSE > %AppFolder%\hdtjutkjdt (1).exe > NSIS > Script.nsi - Win64/Agent.GXJ 特洛伊木马 - 已通过删除清除 [1]
   
2. 
   
3. C:\Users\123aaa\Desktop\搜狗输入法.exe > INNO > c:\\escsvc\escsvc.exe > EMB > [#0][EFS]CRTO - VBS/Agent.TNJ 特洛伊木马 - 已通过删除清除 [1]

复制代码

ulyanov2233

卡巴op检出一个，还有一个我稍后更新结果Online Virus Scanner — Kaspersky Threat Intelligence Portal — Report — 03A9133DB343E6F50632A2A160AAE200F7648D7E4274D5E5...有签名这个触发主防，但是是adware的主防Online Virus Scanner — Kaspersky Threat Intelligence Portal — Report — 1DD242629B0967CC9C8313C1E27D1EF4B8AF49001C9BE9BD...

驭龙

Avira杀一个，但是是algo引擎的报法？不过监控也是有algo引擎参与的，这是真不错了。

莒县小哥

lingchenheiye

火绒高启发扫描kill

wwwab

第一个下载地址ban了

Rukia

sogouc-zq.com        Client Hold

biue

腾讯电脑管家 1X