fakeapp1x

UNknownOoo

火绒
运行

1. 病毒名称：HVM:Backdoor/Lotok.ch
   
2. 病毒ID：33D325DB9E4989D0
   
3. 病毒路径：C:\ProgramData\build-\V6imPnb\is-1MHH7.tmp
   
4. 操作类型：修改
   
5. 操作结果：已处理，删除文件
   

复制代码

LingGao

Microsoft Defender MISS

已提交分析，微软研究员分析结果：
“ChromeSetupx64A-9497.msi”
Trojan:Win32/Malgent!MSR

下次更新时加入病毒库。

驭龙

微微的笑 发表于 2026-1-6 09:45
专门挑的红伞miss 的msi样本，给龙大测试的。
你把msi用压缩软件解压后再扫描试试

我好像来晚了，今天白天没开电脑。

我刚刚测试一下，解压就被监控杀了，本地特征入库，修改MD5以后，报毒名发生变化，但依然不影响查杀。


因此猜测是，云检测是不检测安装包内文件的，只有本地基因可以检测安装包内文件，所以某些情况下需要运行样本，让样本释放黑文件才被监控识别。

biue

腾讯电脑管家 1X

Jerry.Lin

UNknownOoo 发表于 2026-1-6 00:32
火绒
运行

https://github.com/JerryLinLinLi ... 1767527465.pset.txt

是4号刚做好的特征，5号下放

微微的笑

驭龙 发表于 2026-1-6 23:20
我好像来晚了，今天白天没开电脑。

我刚刚测试一下，解压就被监控杀了，本地特征入库，修改MD5以后， ...

在红伞入库前，avast扫描报evo，红伞运行报evo，evo不也是本地特征库吗

驭龙

微微的笑 发表于 2026-1-7 08:53
在红伞入库前，avast扫描报evo，红伞运行报evo，evo不也是本地特征库吗

不好说，我每次都来晚了，所以没赶上，等我有时间自己去抓个样本试一试，看看evo有没有avast云信誉的参与
运作报是因为样本释放到本地了。

微微的笑

驭龙 发表于 2026-1-7 09:33
不好说，我每次都来晚了，所以没赶上，等我有时间自己去抓个样本试一试，看看evo有没有avast云信誉的参与 ...

现在有空吗？我刚抓到了一个报evo的avast，fsp miss的
pm给你了

UNknownOoo

Jerry.Lin 发表于 2026-1-7 05:17
https://github.com/JerryLinLinLi ... 1767527465.pset.txt

是4号刚做好的特征，5号下放

之前给火绒提过建议，让火绒参考微软的病毒库更新日志结果没整出来...让你先做出来了（）

驭龙

微微的笑 发表于 2026-1-7 10:54
现在有空吗？我刚抓到了一个报evo的avast，fsp miss的
pm给你了

我最近几天的白天都没在线，抱歉哈，我现在去看看