软件下载区发现的可疑文件

biue

腾讯电脑管家 1X

莒县小哥

猥琐大叔

Curve25519

ESET Smart Security Premium 解压 kill

2025/10/10 11:32:52;文件系统实时防护;文件;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\drive\W\SuperBootFix1\SuperBootFix1.exe;Suspicious Object;已通过删除清除;DESKTOP-K07940I\Admin;尝试通过应用程序访问文件时发生事件: C:\Windows\explorer.exe (EA6066D4C145AF46220B996AA37C0449B41A9A6C).;34EFA4ABF1CFE7FE3C5EF8978F5121CEBE491CEA;2025/10/10 11:32:48;;

QVM360

扬帆起航 发表于 2025-10-9 23:05
或许是某些敏感操作被识别到了？

@QVM360 FYI 毒组现在有资源帮忙分析一下这个样本吗？

已经发毒组q群了

扬帆起航

QVM360 发表于 2025-10-10 19:28
已经发毒组q群了

好的，有结果的话麻烦发一下

QVM360

扬帆起航 发表于 2025-10-10 19:58
好的，有结果的话麻烦发一下

hsks说应该不是病毒，因为uefi工具要提权，容易被误报，具体的你问下他吧

扬帆起航

QVM360 发表于 2025-10-11 00:04
hsks说应该不是病毒，因为uefi工具要提权，容易被误报，具体的你问下他吧

@hsks

你好，方便说一下你那边的分析结果以及你的想法吗？

hsks

扬帆起航 发表于 2025-10-11 08:00
@hsks

你好，方便说一下你那边的分析结果以及你的想法吗？

编辑

hsks

扬帆起航 发表于 2025-10-11 08:00
@hsks

你好，方便说一下你那边的分析结果以及你的想法吗？

昨天只是浅浅的看了下，深入到代码的分析就交给其他人了（首先，考虑到这是民间编写的程序，加了upx壳并且涉及到对磁盘和引导文件的操作（磁盘修复和引导方面的修复），对我来说除非能揪出来明显的恶意行为（diskwriter之类的），否则只能考虑将该工具分划到日常不需要的程序/有一定风险的程序。
查看VT结果，虽然VT目前有54/71的结果，但仔细看各大杀软的报毒结果，卡巴所报的Fsysna是一个比较模糊的结果，类似于WD的Wacatac，除去像S1,CS,DI之类的NGAV以及像阿里这种疑似抄袭卡巴结果的杀软以及偏冷门表现不是很突出的杀软后，趋势的NameTrick报法也说明不出来什么（也许是fix之类的关键词触发了启发式报法）。所以VT上的结果可能只是因为它是民间工具，就像破解版软件，易语言，或者加了强壳的工具，如果结果很模糊，不能简单的就将它归类于恶意样本。
再看看样本里绑了什么组件，结合triage沙箱结果来看，首先看第一层：

7z.exe和7z.dll不用多说，解压用的，把相关组件解压到Temp文件夹里


md5.exe和md5,ini是配套的，根据md5.ini中的信息，推测是组合find.exe查找相关组件的


经过一大串的查找工作后，可以看到调用了注册表，还运行了Bootmode.exe推测是读取系统相关信息（即工具里的“扫描系统”操作）

Bootmode.exe的界面（“BIOS和UEFI启动模式判断”）：
扫描系统产生的结果：
可以看出基本一一对应（查找PartitionType之类的）
cecho.exe未知，根据沙箱结果来看，应该是给用户输出相关操作提示的