第二个假WPS

Myrenaser

昨天浅浅地分析了一下，今天在虚拟机尝试运行：
假网站：https://www.wpssoft.com.cn/
bc6fcb450024b38f113f01cf7873657aede61549758191cd33d8597ad808f8e7

双衔通过QQ闪传分享了【WPS_Setup_X64.7z】
链接：https://qfile.qq.com/q/p7HbzveSxa


VT昨天首次上传msi失败，原因不明

下载后的两个.msi文件哈希值完全相同


BDTS双击后，安装最后阶段点击“完成”触发ATD

卡巴斯基扫描kill

主系统中用7-zip打开.msi，有个 emjio.tmp 文件，疑似主要文件，单独解压报错，
进PE解压，resource.png 也可以当压缩包打开

将 emjio.tmp上传至VT的结果：https://www.virustotal.com/gui/f ... 9288f00fa11dd336714

lingchenheiye

【主防测试】
防御软件：冰盾，普通版本
操作方法：不扫描，UAC开启最高状态，打开冰盾几乎所有的规则，直接运行可执行文件
结果：有几次拦截，重启后才弹出结束注入进程的弹窗，拦截日志如图

啊松

拦截下载链接

心醉咖啡

360

jijianan2007

沙盘运行一段时间后，360清除衍生物

22222221

智量+自定义规则  拦截注册表自启动 安装一段时间后内存扫描杀（补充：后面日志一直在杀内存，疑似杀不干净，不过注销后没弹窗了）

post88

avast轻松杀

UNknownOoo

火绒
运行：拉黑衍生物&主防捉

1. 防护项目：启动项
   
2. 操作类型：修改
   
3. 数据内容：C:\Users\UnknownOoo\AppData\Roaming\BluTm_82jd\uncirostrate.exe
   
4. 目标注册表：HKEY_USERS\S-1-5-21-1299670476-2547804368-247796956-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\uwo
   
5. 操作结果：已阻止
   

复制代码

1. 病毒名称：Trojan/Generic!A68D03F0F18F9219
   
2. 病毒ID：A68D03F0F18F9219
   
3. 病毒路径：C:\Users\UnknownOoo\AppData\Roaming\BluTm_82jd\turbojpeg.dll
   
4. 操作类型：修改
   
5. 操作结果：已处理，删除文件
   

复制代码

1. 病毒名称：Backdoor/Lotok.WG
   
2. 病毒路径：C:\Windows\System32\msiexec.exe
   

复制代码