银狐1X #downloader

hsks

密码：12366
credit：@隔山打空气
运行bat脚本
VirusTotal - File - 242ed7144fc344f470929703c02cf0a4b006de9b9aedd2a11dbb0593e4e593d9
报告：https://mp.weixin.qq.com/s/dAinJV0Sv7TWrw_1UfJHeg
IOC：hxxps://sw-jc.oss-cn-hongkong.aliyuncs.com/
C2：103.115.56.103:8383

ulyanov2233

elg被过

2025/11/13 18:12:19;ESET 内核;ESET LiveGuard 正在分析文件，以确保其可安全使用。我们会在几分钟后给您发送通知。取消阻止文件(不建议)更改设置;SYSTEM
2025/11/13 18:12:19;ESET 内核;ESET LiveGuard 正在分析文件，以确保其可安全使用。我们会在几分钟后给您发送通知。取消阻止文件(不建议)更改设置;SYSTEM
2025/11/13 18:12:39;ESET 内核;文件“sw12366.vbs”已发送到 ESET Virus Lab 以供分析。;SYSTEM
2025/11/13 18:12:41;ESET 内核;ESET LiveGuard 已完成分析文件。可以安全使用。;SYSTEM
2025/11/13 18:12:48;ESET 内核;ESET LiveGuard 已完成分析文件。可以安全使用。;SYSTEM

AMD_Ryzen

BEST 解压杀

1. 实时防护检测到威胁。该文件已被删除。C:\Users\Meadow\Desktop\sw码12366】\安装不上点运行环境.bat 是恶意软件 Heur.BZC.ONG.Leopard.1.53C6C778

复制代码

tony099

avast 扫描miss

莒县小哥

MD扫描不杀

ulyanov2233

下载了这一堆东西，uems是有有效合法签名的，滥用合法远控吧ManageEngine卓豪的统一终端管理系统（UEMS）解决方案，下发的配置显示最后和这个服务器握手建立c2链接103.115.56.103

sw-jc.oss-cn-hongkong.aliyuncs.com
https://sw-jc.oss-cn-hongkong.aliyuncs.com/DCAgentServerInfo.json
https://sw-jc.oss-cn-hongkong.aliyuncs.com/DMRootCA-Server.crt
https://sw-jc.oss-cn-hongkong.aliyuncs.com/DMRootCA.crt
https://sw-jc.oss-cn-hongkong.aliyuncs.com/README.html
https://sw-jc.oss-cn-hongkong.aliyuncs.com/UEMSAgent.msi

Lolo期待

360云查杀kill
卡巴斯基扫描miss，KSN未知

hsks

ulyanov2233 发表于 2025-11-13 18:37
下载了这一堆东西，uems是有有效合法签名的，滥用合法远控吧ManageEngine卓豪的统一终端管理系统（UEMS）解 ...

是的

隔山打空气

ulyanov2233 发表于 2025-11-13 18:37
下载了这一堆东西，uems是有有效合法签名的，滥用合法远控吧ManageEngine卓豪的统一终端管理系统（UEMS）解 ...

大远控时代，一切静默安装+配置文件的都可以利用（
其实是另一位要发的样本，他号莫名其妙发不出来，我委托hsks发了（

啊松

大佬，问一下那个vbs是不是恶意的?