恶意软件 1x

皓hali

简介见来源  疑似银狐

---

攻击手段：攻击者通过社会工程手段，伪装成外贸投资计划文件诱骗目标执行恶意程序
简略分析：
样本会通过注册表来检测是否存在金山系列软件：
样本在时区/语言非中文环境会停止运行：

文件元数据中CompanyName为WPS-Office, Inc. 图标是WPS PPT图标
类型为ValleyRAT，具备远程控制、信息窃取和规避检测能力。 样本行为特征与银狐的攻击手法高度吻合。

---

检测结果：
微步云沙箱检测结果  奇安信天穹检查结果  奇安信情报沙箱检查结果  安恒云沙箱检查结果

查杀结果：
火绒(病毒库2025-12-18 19:23)miss
火绒(病毒库2025-12-19 19:24)可查杀: 病毒名: Trojan/Generic!AFBC797200445DD2, 病毒ID: afbc797200445dd2
360杀毒(病毒库2025-12-19)右键扫描miss

---

来源：海外骗子发的远程控制病毒，火绒毫无提示 - 病毒查杀问题反馈 - 火绒安全软件
下载样本：
火绒论坛下载  QQ闪传下载(有效期14d)  文叔叔下载1(有效期1d)  文叔叔下载2(有效期1d)
样本HASH（压缩包内exe）
SHA256: 9a3f9699fbed86cffc990e451995f1c165c004ed652c66c4e33e27f55d1b6af0
MD5: 045a412544cb665d70fce74f22f463a9
SHA1: e81e4d3c2025c88075332c1992576ea45ff22a06

hansyu

ESSP
ESET LiveGuard 特洛伊木马

心醉咖啡

360

jsp

事件: 检测到恶意对象
用户:
用户类型: 发起者
应用程序名称: explorer.exe
应用程序路径: C:\Windows
组件: 文件反病毒
结果描述: 检测到
类型: 木马
名称: UDS:Trojan-Dropper.Win32.Agent.a
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: Victor’s USD 800,000 Investment Plan.exe
对象路径: C:\Users\\Downloads
对象的 MD5: 045A412544CB665D70FCE74F22F463A9
原因: 云保护

tony099

事件: 对象已删除
用户: DESKTOP-L225MQV\35987
用户类型: 发起者
应用程序名称: explorer.exe
应用程序路径: C:\Windows
组件: 文件反病毒
结果描述: 已删除
类型: 木马
名称: Trojan-Dropper.Win32.Agent.tkdfvz
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: Victor’s USD 800,000 Investment Plan.exe
对象路径: C:\Users\35987\Desktop\Victor’s USD 800,000 Investment Plan
对象的 MD5: 045A412544CB665D70FCE74F22F463A9

jsp

avast
安全解除威胁
我们已将 Victor's UsD 800,000 Investment Plan.exe 移至您的病毒隔离区因为它感染了 EvoGen扫描miss 双击kill

皓hali

心醉咖啡 发表于 2025-12-19 21:24
360

麻烦提供下病毒库日期 我360杀毒7.0.0.1050（病毒库：2025-12-19）扫不出来 下载保护提示风险未知

360杀毒扫描日志

病毒库日期：2025-12-19
扫描时间：2025-12-19 21:33:19
扫描用时：00:00:08
扫描类型：自定义扫描
扫描文件总数：7
项目总数：0
清除项目数：0

扫描选项
----------------------
扫描所有文件：是
扫描压缩包：是
发现病毒处理方式：由用户选择处理
扫描磁盘引导区：是
扫描 Rootkit：是
使用云查杀引擎：是
使用QVM人工智能引擎：是
扫描建议修复项：是
常规引擎设置：鲲鹏

扫描内容
----------------------
D:\work\v\Victor’s USD 800,000 Investment Plan\

扫描结果
======================
未发现威胁文件

22222221

FSP 双击 HEUR/APC kill

HMPA KILL

asdfnbbj

360扫描不报毒

皓hali

心醉咖啡 发表于 2025-12-19 21:24
360

9楼一样是不报毒啊