样本3X

啊松

https://wwbsm.lanzoub.com/iB2R03difv5g


007 切入投资.msi   vt初扫1X：https://www.virustotal.com/gui/f ... 9f1cea567?nocache=1

卡巴双击pdm加回滚



007.exe  VT初扫4X：https://www.virustotal.com/gui/f ... 3ef010f42?nocache=1

卡巴双击miss




剧情.msi  VT初扫2X：https://www.virustotal.com/gui/f ... 8528d650b?nocache=1

卡巴双击杀两个衍生物

Curve25519

沙盘中测试，ESET Smart Security Premium 解压 kill 剧情.msi，双击 007.exe 触发 LiveGuard 分析，miss，扫描 miss，双击 007 切入投资.msi LiveGuard kill，1214 复测，报 Generik.FOZWVOJ 特洛伊木马 的变量。007.exe 连接到 47.79.50.56:443，下载不知道什么东西（至少下载了 jyxh.exe 和 XYWob.dll），突然间进程结束了并且自动切换到了桌面（浏览器等自动最小化），把我吓了一跳。1215 复测，007.exe 解压 kill（云拉黑）

2025/12/13 15:22:51;文件系统实时防护;文件;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\drive\W\伪装素材资料视频\伪装素材资料视频\剧情.msi;VBS/Agent.TSG 特洛伊木马;已删除;DESKTOP-K07940I\Admin;在通过应用程序创建的新文件上发生了事件: C:\Program Files\WinRAR\WinRAR.exe (D150653D2058987677CD7ED3FF5344D9BA9D2739).;A6A0428BBD5CAD3E129B82D3A861AC15AC6B1093;;S-1-5-21-1216372390-1976424117-2270819850-1001;

2025/12/13 15:23:28;4632DF0D75AB4198A64EA7B80C77AB65604F2604;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\drive\W\伪装素材资料视频\伪装素材资料视频\007.exe;1610048;可执行文件;自动;ESET LiveGuard;DESKTOP-K07940I\Admin;S-1-5-21-1216372390-1976424117-2270819850-1001;

2025/12/13 15:23:47;ESET 内核;ESET LiveGuard 正在分析文件，以确保其可安全使用。我们会在几分钟后给您发送通知。取消阻止文件(不建议)更改设置;NT AUTHORITY\ANONYMOUS LOGON

2025/12/13 15:25:22;ESET 内核;ESET LiveGuard 已完成分析文件。可以安全使用。;NT AUTHORITY\ANONYMOUS LOGON

2025/12/13 15:25:49;文件系统实时防护;文件;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\drive\W\伪装素材资料视频\伪装素材资料视频\007 切入投资.msi;ESET LiveGuard 特洛伊木马;已通过删除清除;DESKTOP-K07940I\Admin;尝试通过应用程序访问文件时发生事件: C:\Windows\explorer.exe (EA5EA3C0C3E82F7371836643C5EC265DA6D02EFA).;5D3554AE51EAE09DB3D15EA9FC8DE90EAA227223;2025/12/13 15:22:50;S-1-5-21-1216372390-1976424117-2270819850-1001;

扫描日志
检测引擎的版本: 32346 (20251212)
日期: 2025/12/13  时间: 15:26:36
已扫描的磁盘、文件夹和文件: W:\Sandbox\Admin\DefaultBox\drive\W\伪装素材资料视频\伪装素材资料视频\007.exe
用户: DESKTOP-K07940I\Admin
已扫描的对象数: 10
检测数: 0
完成时间: 15:26:36  总扫描时间: 0 秒 (00:00:00)



2025/12/13 15:31:29;ESET 内核;ESET LiveGuard 正在分析文件，以确保其可安全使用。我们会在几分钟后给您发送通知。取消阻止文件(不建议)更改设置;NT AUTHORITY\ANONYMOUS LOGON
2025/12/13 15:31:36;ESET 内核;文件“jyxh.exe”已发送到 ESET Virus Lab 以供分析。;SYSTEM
2025/12/13 15:31:50;ESET 内核;文件“XYWob.dll”已发送到 ESET Virus Lab 以供分析。;SYSTEM

jyxh.exe：
2025/12/13 15:33:12;ESET 内核;ESET LiveGuard 已完成分析文件。可以安全使用。;NT AUTHORITY\ANONYMOUS LOGON

---

2025/12/14 9:50:02;文件系统实时防护;文件;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\drive\H\cacheandtemp\Temp\Rar$DRb1756.13656.rartemp\伪装素材资料视频\007 切入投资.msi;Generik.FOZWVOJ 特洛伊木马 的变量;已通过删除清除;DESKTOP-K07940I\Admin;在通过应用程序创建的新文件上发生了事件: C:\Program Files\WinRAR\WinRAR.exe (D150653D2058987677CD7ED3FF5344D9BA9D2739).;5D3554AE51EAE09DB3D15EA9FC8DE90EAA227223;2025/12/13 15:22:50;S-1-5-21-1216372390-1976424117-2270819850-1001;

---

2025/12/15 19:01:57;文件系统实时防护;文件;\Device\TweakCubeRamDisk0\Sandbox\Admin\DefaultBox\drive\H\cacheandtemp\Temp\Rar$DRb344.15184.rartemp\伪装素材资料视频\007.exe;Suspicious Object;已通过删除清除;DESKTOP-K07940I\Admin;在通过应用程序创建的新文件上发生了事件: C:\Program Files\WinRAR\WinRAR.exe (D150653D2058987677CD7ED3FF5344D9BA9D2739).;4632DF0D75AB4198A64EA7B80C77AB65604F2604;2025/12/13 15:22:51;S-1-5-21-1216372390-1976424117-2270819850-1001;

啊松

火绒扫描能杀两个，但是双击007q切入和007就只能拦截外联

AMD_Ryzen

BEST 双击 ATC杀 3x
007 切入投资.msi


007.exe


剧情.msi

22222221

FSP：开始疯狂杀衍生物喽007 切入投资 APC+sentry杀衍生物


007.exe成功运行 释放衍生物 但过一会后APC杀黑dll



最后一个 杀衍生物



Sophos kill2x
007.exemiss 另外两个拦截

asdfnbbj

360扫描一个

xjwtzq

奇安信miss 007

LSPD

MD
007 miss
剧情.msi 被添加排除项，手快取消排除项后杀衍生物

007 切入投资.msi 被添加排除项，杀衍生物

ii88

360杀毒，剩2x
ESET，剩2x
ESET+360，剩1x（007切入投资）

idhaname

华为Miss All，MD 007.exe ASR