电报上的汉化文件，vt2

刺杀玫瑰

如题，在群聊里下载了个汉化文件，卡巴斯基扫描不出来，但行为分析拦截并删除，op检测为安全,双击后卡巴斯基疯狂拦截删除一大堆文件
事件: 进程已终止
应用程序: Kernel Pool Monitor
用户: DESKTOP-ESG43UO\鱼渔渝
用户类型: 发起者
组件: 系统监控
结果描述: 已终止
类型: 木马
名称: PDM:Trojan.Win32.Generic
威胁级别: 高
对象类型: 进程
对象路径: C:\Users\鱼渔渝\Downloads\Telegram Desktop
对象名称: 点击安装简体中文语言包.exe
MD5: 1D4A3AE1828753267B7254EA8B3BBD75

链接：https://www.123865.com/s/jj57Vv-SS5BH

莒县小哥

样本呢

刺杀玫瑰

莒县小哥 发表于 2025-11-13 15:04
样本呢

来了刚刚没被编辑好

一成不变

eset未扫出，卡巴未扫出

30云沙箱：https://ata.360.net/report/758620786371584
op扫描clean微步云沙箱未知：样本报告-微步在线云沙箱
安恒云沙箱（可疑）：安恒云沙箱-下一代沙箱的领航者
neiki：File Report
奇安信沙箱恶意：奇安信情报沙箱
奇安信扫出恶意站点访问：

wy29d68v[.]com

莒县小哥

刺杀玫瑰 发表于 2025-11-13 15:10
来了刚刚没被编辑好

https://www.virustotal.com/gui/f ... 6de1b6194ffb39beb5e

MD扫描不杀

AMD_Ryzen

样本有长睡眠

BD 双击 ATD kill

一成不变

AMD_Ryzen 发表于 2025-11-13 15:46
样本有长睡眠

BD 双击 ATD kill

安恒云沙箱也检测出超过一分钟的长睡眠行为
这个检出率简直吓人，看看我考个高数回来看看能不能检出

AMD_Ryzen

一成不变 发表于 2025-11-13 15:48
安恒云沙箱也检测出超过一分钟的长睡眠行为
这个检出率简直吓人，看看我考个高数回来看看能不能检 ...

是的，我一开始还以为BEST miss了，看了你发的沙箱分析以后，才发现有长睡眠和反虚拟机，我装BEST的虚拟机没做反反虚拟化检测，换到BD那台虚拟机里才能检出

啊松

这是木马，汉化不需要exe文件，在极搜里输入汉化发送即可，感谢卡巴吧，卡巴帮你拦截了木马，要是换国内的小卡拉米杀毒软件可拦不住

scottxzt

运行全程WD和ID无反馈。一分钟后