两个bat文件

压缩的时空

https://4275.com/ovsv0q

传过VT显示全绿...
https://www.virustotal.com/gui/f ... 110626654?nocache=1

https://www.virustotal.com/gui/f ... 2ec6b874aab276124c6

wywt123

1. @echo off
   
2. :U1SdiHJh
   
3. tasklist /fi "PID eq 3860" | findstr /i "3860" > nul
   
4. if errorlevel 1 (
   
5.     sc start "MOfCRsWFP"
   
6.     exit
   
7. )
   
8. timeout /t 10
   
9. goto U1SdiHJh

复制代码

1. @echo off
   
2. :vTHrZd
   
3. tasklist /fi "PID eq 3860" | findstr /i "3860" > nul
   
4. if errorlevel 1 (
   
5.     sc start "MOfCRsWFP"
   
6.     exit
   
7. )
   
8. timeout /t 10
   
9. goto vTHrZd

复制代码

不报正常，脚本没啥危险内容，你应该看看MOfCRsWFP是个什么服务

压缩的时空

wywt123 发表于 2025-12-14 09:56
不报正常，脚本没啥危险内容，你应该看看MOfCRsWFP是个什么服务

好滴，感谢大佬

wwwab

你应该看一下MOfCRsWFP是个什么服务，这个服务所启动的东西有可能有问题，服务名称很奇怪。有一批银狐之前也会在系统目录下释放一个随机名称的bat拉起自己的服务、持久化，被火绒专门添加了特征。

压缩的时空

wwwab 发表于 2025-12-14 10:24
你应该看一下MOfCRsWFP是个什么服务，这个服务所启动的东西有可能有问题，服务名称很奇怪。有一批银狐之前 ...

提交过火绒方面分析了

心醉咖啡

360

superLYT

EEA双击不报

biue

腾讯电脑管家 不报

微微的笑

wywt123 发表于 2025-12-14 09:56
不报正常，脚本没啥危险内容，你应该看看MOfCRsWFP是个什么服务

https://bbs.kafan.cn/thread-2287059-1-1.html

和这个是同门师兄弟吗

那边标题银狐3x给我搞懵了

wywt123

微微的笑 发表于 2025-12-15 09:06
https://bbs.kafan.cn/thread-2287059-1-1.html

和这个是同门师兄弟吗

看起来是的，hhh