银狐 1x

aboringman

ESET：Suspicious Object

绕云杀，运行杀衍生物几枚

1. 2025/11/7 16:02:22;文件系统实时防护;文件;C:\Users\123aaa\AppData\Local\Profiler.json;Win32/ShellCode.AA 特洛伊木马;已通过删除清除;  在通过应用程序创建的新文件上发生了事件: C:\Users\123aaa\AppData\Roaming\edge\xmplay.exe (66802E27D25F250056F2E58786E3F5A824829AF6).;CE27F0123FAEC4CD0B9A01DBF160BC387C8B8757;2025/11/7 16:02:20  
   
2. 
   
3. 2025/11/7 16:02:45;文件系统实时防护;文件;C:\Users\123aaa\AppData\Roaming\Embarcadero\GPUCache.xml;Win32/ShellCode.AA 特洛伊木马;已通过删除清除;  在通过应用程序创建的新文件上发生了事件: C:\Users\123aaa\AppData\Roaming\edge\xmplay.exe (66802E27D25F250056F2E58786E3F5A824829AF6).;A55172CB775F10A7EB2D5497075AE80B8B6C52AA;2025/11/7 16:02:40  
   
4. 
   
5. 2025/11/7 16:02:45;文件系统实时防护;文件;C:\Users\123aaa\AppData\Roaming\Embarcadero\GPUCache2.xml;Win32/ShellCode.AA 特洛伊木马;已通过删除清除;  在通过应用程序创建的新文件上发生了事件: C:\Users\123aaa\AppData\Roaming\edge\xmplay.exe (66802E27D25F250056F2E58786E3F5A824829AF6).;F053DEE566CFB1A3540E171E79BDA8FDC24C3E7B;2025/11/7 16:02:41  
   
6. 
   
7. 2025/11/7 16:02:45;文件系统实时防护;文件;C:\Users\123aaa\AppData\Roaming\GPUCache2.xml;Win32/ShellCode.AA 特洛伊木马;已通过删除清除;  在通过应用程序创建的新文件上发生了事件: C:\Users\123aaa\AppData\Roaming\edge\xmplay.exe (66802E27D25F250056F2E58786E3F5A824829AF6).;F053DEE566CFB1A3540E171E79BDA8FDC24C3E7B;2025/11/7 16:02:40  
   
8. 
   
9. 2025/11/7 16:02:45;文件系统实时防护;文件;C:\Users\123aaa\AppData\Roaming\GPUCache.xml;Win32/ShellCode.AA 特洛伊木马;已通过删除清除;  在通过应用程序创建的新文件上发生了事件: C:\Users\123aaa\AppData\Roaming\edge\xmplay.exe (66802E27D25F250056F2E58786E3F5A824829AF6).;A55172CB775F10A7EB2D5497075AE80B8B6C52AA;2025/11/7 16:02:40  
   
10. 
    
11. 2025/11/7 16:02:48;文件系统实时防护;文件;C:\Users\123aaa\AppData\Roaming\Embarcadero\AutoRecoverDat.dll;Win32/Agent_AGen.FRJ 特洛伊木马 的变量;已通过删除清除;  在通过应用程序创建的新文件上发生了事件: C:\Users\123aaa\AppData\Roaming\edge\xmplay.exe (66802E27D25F250056F2E58786E3F5A824829AF6).;01CD47A4D96A0A1ADEB7C3DA3F5029414CC03447;2025/11/7 16:02:41  

复制代码

UNknownOoo

火绒
运行：主防捉

1. 病毒名称：Backdoor/Lotok.MC
   
2. 病毒路径：C:\Users\UnknownOoo\AppData\Roaming\edge\xmplay.exe
   
3. 
   
4. 进程ID：672
   
5. 操作进程命令行："C:\Users\UNKNOW~1\AppData\Roaming\edge\xmplay.exe"
   
6. 父进程ID：1388
   
7. 父进程：C:\Users\UnknownOoo\Desktop\winrar-2025110203.exe
   
8. 父进程命令行："C:\Users\UnknownOoo\Desktop\winrar-2025110203.exe"

复制代码

一成不变

一成不变 发表于 2025-11-7 15:52
实体机不敢双击
刚刚试了一下avast双击kill

发给火绒了，说近期更新支持查杀

你开心就好

一成不变 发表于 2025-11-7 15:15
火绒卡巴均miss

专杀工具也miss？

tony099

aboringman 发表于 2025-11-7 16:08
ESET：Suspicious Object

绕云杀，运行杀衍生物几枚

已经云拉黑了

2025/11/7 18:26:29;文件系统实时防护;

文件;C:\Users\35987\Downloads\winrar-2025110203.exe;

Suspicious Object;已通过删除清除;

scottxzt

阻止运行可执行文件，除非它们符合传播、年龄、受信任列表条件

F:\winrar-2025110203_2\winrar-2025110203\winrar-2025110203.exe

驭龙

Avira beta扫描不杀。


双击以后无法运行，APC阻止运行。


什么情况？扫描不杀，然后双击杀？对滴，没看错，是这样。


为什么出现这种情况？是因为双击触发了sentry与APC的联动，也就是主防调用云特征的云行为分析杀，有一点像卡巴的PDM中的那个B拉黑杀

xjwtzq

奇安信拦截

驭龙

xjwtzq 发表于 2025-11-7 19:18
奇安信拦截

看第一个图中运行的桌面上的文件，怎么不太像是一楼的样本呢？

xjwtzq

驭龙 发表于 2025-11-7 20:06
看第一个图中运行的桌面上的文件，怎么不太像是一楼的样本呢？

第一个是昨天样本截图，搞错了