fake app 1x

ulyanov2233

【W_P_S_Sevbfg_35d531.rar】
链接：https://qfile.qq.com/q/P2loBwKK8G
https://www.virustotal.com/gui/f ... b09b870df527d5dbb1b
https://wormhole.app/eEdr4o#ftnwc7Gdl0YsTz4EEfIHVg

a2650183122

事件: 检测到恶意对象
应用程序: WPS Install Application
用户: PC-20251014SKCU\Test
用户类型: 发起者
组件: 系统监控
结果描述: 检测到
类型: 木马
名称: PDM:Trojan.Win32.Generic
威胁级别: 高
对象类型: 进程
对象路径: C:\Users\Test\Desktop
对象名称: W_P_S_Sevbfg_35d531.exe
原因: 行为分析
数据库发布日期: 昨天，2025/10/19 上午1:59:00
MD5: 9AC0754943EF2A14C5A4956AD84A6CD7

以上是忘了更新数据库时测的，实际应该能扫出来

事件: 检测到恶意对象
用户: SIGMUND-PC\26501
用户类型: 发起者
应用程序名称: WinRAR.exe
应用程序路径: C:\Program Files\WinRAR
组件: 文件反病毒
结果描述: 检测到
类型: 木马
名称: HEUR:Trojan-Dropper.Win32.Dapato.gen
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: W_P_S_Sevbfg_35d531.exe
对象路径: D:\Download\W_P_S_Sevbfg_35d531
对象的 MD5: 9AC0754943EF2A14C5A4956AD84A6CD7
原因: 机器学习
数据库发布日期: 今天，2025/10/20 14:24:00

莒县小哥

心醉咖啡

360下载保护未知

请叫我德玛西亚

瑞星esm  双击kill

奇安信天擎 双击

biue

腾讯电脑管家 1X

神龟Turmi

和我前天发的那个是同源的 Shellcode都一样
按照@wwwab 的分析 大概率也是银狐

Curve25519

ESET 解压、扫描 miss，沙盘中安装 kill 部分衍生物

扫描日志
检测引擎的版本: 32056 (20251020)
日期: 2025/10/21  时间: 7:52:38
已扫描的磁盘、文件夹和文件: W:\Sandbox\Admin\DefaultBox\drive\W\W_P_S_Sevbfg_35d531\W_P_S_Sevbfg_35d531.exe
用户: DESKTOP-K07940I\Admin
W:\Sandbox\Admin\DefaultBox\drive\W\W_P_S_Sevbfg_35d531\W_P_S_Sevbfg_35d531.exe > NSIS > WPS_Setup_21915.exe > NSIS > ___ - Win32/KingSoft_AGen.BJ 潜在的不受欢迎应用程序 的变量 - 已将选择操作推迟到扫描完成后进行
W:\Sandbox\Admin\DefaultBox\drive\W\W_P_S_Sevbfg_35d531\W_P_S_Sevbfg_35d531.exe > NSIS > WPS_Setup_21915.exe > NSIS > ___ - Win32/KingSoft_AGen.BJ 潜在的不受欢迎应用程序 的变量 - 已保留
已扫描的对象数: 43
检测数: 1
已清除的对象数: 0
完成时间: 7:52:56  总扫描时间: 18 秒 (00:00:18)

2025/10/21 7:54:14;文件系统实时防护;文件;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\user\current\AppData\Roaming\Embarcadero\GPUCache2.xml;Win32/ShellCode.AA 特洛伊木马;已通过删除清除;DESKTOP-K07940I\Admin;在新建的文件上发生事件。;E4BC0DD1A3AD01C99C61F0510BD136F412804B9F;2025/10/21 7:54:11;;
2025/10/21 7:54:14;文件系统实时防护;文件;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\user\current\AppData\Roaming\Embarcadero\GPUCache.xml;Win32/ShellCode.AA 特洛伊木马;已通过删除清除;DESKTOP-K07940I\Admin;在新建的文件上发生事件。;A1B2BB887DCC2286C7838A277CAACEBD9F88DAE3;2025/10/21 7:54:11;;
2025/10/21 7:54:14;文件系统实时防护;文件;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\user\current\AppData\Roaming\GPUCache2.xml;Win32/ShellCode.AA 特洛伊木马;已通过删除清除;DESKTOP-K07940I\Admin;在新建的文件上发生事件。;E4BC0DD1A3AD01C99C61F0510BD136F412804B9F;2025/10/21 7:54:11;;
2025/10/21 7:54:15;文件系统实时防护;文件;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\user\current\AppData\Roaming\GPUCache.xml;Win32/ShellCode.AA 特洛伊木马;已通过删除清除;DESKTOP-K07940I\Admin;在新建的文件上发生事件。;A1B2BB887DCC2286C7838A277CAACEBD9F88DAE3;2025/10/21 7:54:11;;
2025/10/21 7:54:16;文件系统实时防护;文件;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\user\current\AppData\Roaming\Embarcadero\AutoRecoverDat.dll;Win64/Packed.Enigma.CE 特洛伊木马 的变量;已通过删除清除;DESKTOP-K07940I\Admin;在新建的文件上发生事件。;F9C895C9DB13B38C840B8A1EADF0F9E8B8B48270;2025/10/21 7:54:11;;
2025/10/21 7:54:23;文件系统实时防护;文件;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\drive\W\W_P_S_Sevbfg_35d531\W_P_S_Sevbfg_35d531.exe;Win32/KingSoft_AGen.BJ 潜在的不受欢迎应用程序 的变量;已通过删除清除;DESKTOP-K07940I\Admin;;6DB557AC013898FA546DA6814989AF87711C3007;;;

fever腾腾

毒霸 miss

Eset小粉絲

New malicious software was found in the attached file. Its detection will be included in the next update.
Thank you for your help.

Best regards, Anastasiya Makarova, Malware Analyst

Payload:
https://wormhole.app/PpRBmA#w6UloQDNvdBFVpIUGp4qjg