假cHROME 3

dd2006

红伞 杀2个
瑞星 查3个清除2个
华为 杀2个
SPE 查3个清除2个

abstudio

Chome-stallerwin64.exe
进程useraccountbroker.exe下载了一个可执行文件到本地

socket：772
received：1360
buffer：
tjÿ´$<
ëÿ´$4
ÿ´$4
ÿÐYY‹Ãë3À_^][Ä
Ãìd¡0SUV‹@W‰L$‹x饋G03ö‹_,‹?‰D$‹B<‰|$‹lx‰l$…í„€Áë3É…Ût/‹|$¾,ÁÎ
€<a‰l$|        ‹ÅƒÀàðët$A;ËrÝ‹|$‹l$‹D* 3Û‹L*‰L$…Ét4‹83íúƒÀ‰D$ ŠÁÍ
¾ÁèG„Éuñ‹|$.;D$t ‹D$ C;\$rÌ‹W…Ò…Pÿÿÿ3À_^][ƒÄËt$‹D$X·‹Dˆ‹ÂëÛMZÿÿ¸@(
º´        Í!¸
LÍ!This program cannot be run in DOS mode.

$4†"épçLºpçLºpçLºfO»{çLºfI»ÐçLºfH»cçLº÷n±ºtçLº÷nO»fçLº÷nH»çLº÷nI»AçLºfM»|çLº£•M»sçLºpçMº˜çLºŠ`H»qçLºŠ`I»dçLºánE»dçLºánL»qçLºánN»qçLºRichpçLºPEL
ÃÊià!
,.
’~
0p@
0L|ŒP ð8€ð`ï@0„.textt `.rdataí0î@@.datax @À.fptable€@@À.relocP @B¡6£Ô2ÃÌÌÌÌÌ¡6£Ð2ÃÌÌÌÌÌ¡6£Ø2

ChromeSetupx64-4550.msi
读取终端服务相关密钥，通常与远程桌面（RDP）相关
registry:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Terminal Server\GlassSessionId

in-2025.msi
访问创建任务计划组件
flags：0
module_address：0x73200000
module_name：C:\Windows\SysWOW64\taskschd.dll
basename：taskschd
stack_pivoted：0

wowocock

飞翔的蒲公英 发表于 2025-12-25 08:49
火绒6.0

漏了的那个，即使中毒后，用火绒恶意木马专杀查杀即可。

飞翔的蒲公英

wowocock 发表于 2025-12-25 11:28
漏了的那个，即使中毒后，用火绒恶意木马专杀查杀即可。

木马专杀不留在软件里面真可惜了，次次都要到论坛下载

wowocock

飞翔的蒲公英 发表于 2025-12-25 16:37
木马专杀不留在软件里面真可惜了，次次都要到论坛下载

留在软件里，会被别人封的死死的。知道360急救箱里为何有那么多XXX运行不了就YYY.