银狐1x

wwwab

火绒
扫描kill dropper

1. 病毒名称：Trojan/FakeApp.zd
   
2. 病毒ID：09544C015182A1AC
   
3. 病毒路径：C:\Users\PC\Downloads\Chome-stallerrwin64\Chome-stallerrwin64.exe
   
4. 操作类型：修改
   
5. 操作结果：已处理，删除文件
   
6. 
   
7. 进程ID：1440
   
8. 操作进程：C:\Program Files\7-Zip\7zG.exe
   
9. 操作进程命令行："C:\Program Files\7-Zip\7zG.exe" x -o"C:\Users\PC\Downloads\Chome-stallerrwin64" -spe -an -ai#7zMap14050:94:7zEvent3698
   
10. 父进程ID：4688
    
11. 父进程：C:\Windows\explorer.exe

复制代码

放行后miss，衍生物miss，已上报，正在处理中


冰盾

1. 冰盾拦截事件：
   
2. 
   
3. 行为: 操作文件（新建）
   
4. 拦截规则: 内置规则 > 基础防御 > 文件 > 禁止创建桌面快捷方式
   
5. 响应动作: 询问（允许）
   
6. 最后一次拦截时间: 2025-12-27 14:44:46
   
7. 拦截次数: 1
   
8. 进程名称: Chome-stallerrwin64.tmp
   
9. 进程路径: C:\Users\PC\AppData\Local\Temp\is-92JQJ.tmp\Chome-stallerrwin64.tmp
   
10. 进程命令行: "C:\Users\PC\AppData\Local\Temp\is-92JQJ.tmp\Chome-stallerrwin64.tmp" /SL5="$20560,148864379,792576,C:\Users\PC\Downloads\Chome-stallerrwin64\Chome-stallerrwin64.exe" /SPAWNWND=$1503D8 /NOTIFYWND=$B0034
    
11. 操作目标: C:\Users\PC\Desktop\谷 歌.lnk

复制代码

1. 冰盾拦截事件：
   
2. 
   
3. 行为: 加载模块
   
4. 拦截规则: 内置规则 > 基础防御 > 进程 > 拦截直接系统调用
   
5. 响应动作: 询问（允许）
   
6. 最后一次拦截时间: 2025-12-27 14:44:58
   
7. 拦截次数: 1
   
8. 进程名称: ZWMrVTt.exe
   
9. 进程路径: C:\ProgramData\serveren\WdsYMG\ZWMrVTt.exe
   
10. 进程命令行: "C:\ProgramData\serveren\WdsYMG\ZWMrVTt"
    
11. 操作目标: C:\Windows\System32\ntdll.dll

复制代码

1. 冰盾拦截事件：
   
2. 
   
3. 行为: 映射内存到进程
   
4. 拦截规则: 内置规则 > 高级防御 > 拦截代码注入
   
5. 响应动作: 询问（允许）
   
6. 最后一次拦截时间: 2025-12-27 14:45:18
   
7. 拦截次数: 1
   
8. 进程名称: ZWMrVTt.exe
   
9. 进程路径: C:\ProgramData\serveren\WdsYMG\ZWMrVTt.exe
   
10. 进程命令行: "C:\ProgramData\serveren\WdsYMG\ZWMrVTt"
    
11. 操作目标: C:\Program Files (x86)\Microsoft\Edge\Application\143.0.3650.96\elevation_service.exe

复制代码

1. 冰盾拦截事件：
   
2. 
   
3. 行为: 隐藏文件
   
4. 拦截规则: 内置规则 > 基础防御 > 文件 > 禁止隐藏可执行文件
   
5. 响应动作: 询问（允许）
   
6. 最后一次拦截时间: 2025-12-27 14:45:24
   
7. 拦截次数: 1
   
8. 进程名称: elevation_service.exe
   
9. 进程路径: C:\Program Files (x86)\Microsoft\Edge\Application\143.0.3650.96\elevation_service.exe
   
10. 进程命令行: "C:\Program Files (x86)\Microsoft\Edge\Application\143.0.3650.96\elevation_service.exe"
    
11. 操作目标: C:\ProgramData\serveren\WdsYMG\jAk.dll

复制代码

1. 冰盾拦截事件：
   
2. 
   
3. 行为: 映射内存到进程
   
4. 拦截规则: 内置规则 > 高级防御 > 拦截代码注入
   
5. 响应动作: 缓存（允许）
   
6. 最后一次拦截时间: 2025-12-27 14:45:24
   
7. 拦截次数: 2
   
8. 进程名称: elevation_service.exe
   
9. 进程路径: C:\Program Files (x86)\Microsoft\Edge\Application\143.0.3650.96\elevation_service.exe
   
10. 进程命令行: "C:\Program Files (x86)\Microsoft\Edge\Application\143.0.3650.96\elevation_service.exe"
    
11. 操作目标: C:\Windows\System32\svchost.exe

复制代码

1. 冰盾拦截事件：
   
2. 
   
3. 行为: 映射内存到进程
   
4. 拦截规则: 内置规则 > 高级防御 > 拦截代码注入
   
5. 响应动作: 询问（允许）
   
6. 最后一次拦截时间: 2025-12-27 14:45:24
   
7. 拦截次数: 1
   
8. 进程名称: elevation_service.exe
   
9. 进程路径: C:\Program Files (x86)\Microsoft\Edge\Application\143.0.3650.96\elevation_service.exe
   
10. 进程命令行: "C:\Program Files (x86)\Microsoft\Edge\Application\143.0.3650.96\elevation_service.exe"
    
11. 操作目标: C:\Windows\System32\svchost.exe

复制代码

1. 冰盾拦截事件：
   
2. 
   
3. 行为: 隐藏文件
   
4. 拦截规则: 内置规则 > 基础防御 > 文件 > 禁止隐藏可执行文件
   
5. 响应动作: 询问（允许）
   
6. 最后一次拦截时间: 2025-12-27 14:45:26
   
7. 拦截次数: 1
   
8. 进程名称: elevation_service.exe
   
9. 进程路径: C:\Program Files (x86)\Microsoft\Edge\Application\143.0.3650.96\elevation_service.exe
   
10. 进程命令行: "C:\Program Files (x86)\Microsoft\Edge\Application\143.0.3650.96\elevation_service.exe"
    
11. 操作目标: C:\ProgramData\serveren\WdsYMG\ZWMrVTt.exe

复制代码

1. 冰盾拦截事件：
   
2. 
   
3. 行为: 创建服务
   
4. 拦截规则: 内置规则 > 持久化 > 禁止创建服务
   
5. 响应动作: 询问（允许）
   
6. 最后一次拦截时间: 2025-12-27 14:45:28
   
7. 拦截次数: 1
   
8. 进程名称: elevation_service.exe
   
9. 进程路径: C:\Program Files (x86)\Microsoft\Edge\Application\143.0.3650.96\elevation_service.exe
   
10. 进程命令行: "C:\Program Files (x86)\Microsoft\Edge\Application\143.0.3650.96\elevation_service.exe"
    
11. 操作目标: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\cYDxmivYG

复制代码

1. 冰盾拦截事件：
   
2. 
   
3. 行为: 修改进程内存
   
4. 拦截规则: 内置规则 > 高级防御 > 拦截代码注入
   
5. 响应动作: 询问（允许）
   
6. 最后一次拦截时间: 2025-12-27 14:45:34
   
7. 拦截次数: 1
   
8. 进程名称: elevation_service.exe
   
9. 进程路径: C:\Program Files (x86)\Microsoft\Edge\Application\143.0.3650.96\elevation_service.exe
   
10. 进程命令行: "C:\Program Files (x86)\Microsoft\Edge\Application\143.0.3650.96\elevation_service.exe"
    
11. 操作目标: C:\Windows\System32\sihost.exe

复制代码

superLYT

BDTS双击kill释放的dll