一个未知病毒，作者自称无文件病毒，请大家分析一下

无文件攻击9178

下载链接https://c.wss.ink/f/iqphdetjdlf

无文件攻击9178

对了运行密码jhf666

飞翔的蒲公英

火绒（默认开高启发）

安天：Trojan.BAT.StartPage，文件类型与特征

• 文件头识别：日志显示文件以 4D 5A 开头，这是标准的 Windows 可执行文件（PE 文件）标识。
• 可疑字符串：日志中包含多个可疑字符串和模式，如 "MZ\x90\x00\x03\x00\x00\x00"、"ForFolde" 等，表明该文件可能包含恶意代码或伪装行为。
  

恶意代码特征

• 异常指令序列：日志中多次出现重复的 00 00 00 00、CC CC CC CC、FF FF FF FF 等字节序列，这些通常用于填充或掩盖真实的代码，常见于恶意软件以逃避检测。
• API 调用：日志中提到的 API 函数如 GetProcAddress、LoadLibrary、VirtualAlloc 等，可能是恶意软件用于动态加载和执行代码的手段。
• 资源段操作：出现对资源段的引用，如 "rsrc\x00\x00\x00"，这可能用于隐藏恶意代码或资源。
• 字符串混淆：大量的十六进制转义字符和非ASCII字符，表明代码进行了混淆处理，增加了逆向分析的难度。
  

已知威胁匹配

• Trojan.BAT.StartPage：日志最终生成的结果为 Trojan.BAT.StartPage，这是一种已知的特洛伊木马变种，通常通过伪装成合法软件或利用漏洞进行传播。
  

安天MAE样本分析工具辅助：

啊松

MrDeep

hellohere

自制机学kill：  文件: 360很安全卫士.exe
  路径: C:/Users/guo/Downloads/360很安全卫士.exe
  大小: 108.50 KB
  结果: 恶意
  风险等级: 极高风险
  置信度: 0.9983
  耗时: 0.08秒
  MD5: 25fefc52003df0dbb52844f363bbe6c7

猥琐大叔

xjwtzq

奇安信拦截一部分，破坏注册表，冰盾拦截

小猛蚁

kes运行一会后

asdfnbbj

360下载保护报毒，扫描不报