Fake RVTools 可能的SmokedHam

显示全部楼层 · 发表于昨天 19:35

载荷有签名Wuhan Shuoxi Technology Co., Ltd.

主要部分位于Binary.bz.WrappedSetupProgram

https://wwbvl.lanzoul.com/iMRc23fyn0vc
密码:he95

显示全部楼层 · 发表于昨天 19:58

SEP scan miss

显示全部楼层 · 发表于昨天 20:14

360扫描miss

显示全部楼层 · 发表于昨天 20:31

有害项目：
TR/W32.Evo
C:\Users\Administrator\Downloads\RVtools-4.7.0.2.msi - 已隔离

显示全部楼层 · 发表于昨天 20:39

本帖最后由 AMD_Ryzen 于 2026-1-12 20:45 编辑

BEST 双击一段时候后拦截衍生物

重启后 kill 1x衍生物

显示全部楼层 · 发表于昨天 20:55

AMD_Ryzen 发表于 2026-1-12 20:39
BEST 双击一段时候后拦截衍生物

"未采取任何操作" 就语义不明确，感觉它啥也没干似的。
我印象中，拦截了命令行的执行

显示全部楼层 · 发表于昨天 20:59

Rukia 发表于 2026-1-12 20:55
"未采取任何操作" 就语义不明确，感觉它啥也没干似的。
我印象中，拦截了命令行的执行

AMSI接口扫描后，将恶意的结果发给系统组件处理，终止执行的动作不是BD下发的。

显示全部楼层 · 发表于昨天 21:04

本帖最后由 jijianan2007 于 2026-1-12 21:06 编辑

360双击杀衍生物

显示全部楼层 · 发表于昨天 21:05

huangzihang 发表于 2026-1-12 20:59
AMSI接口扫描后，将恶意的结果发给系统组件处理，终止执行的动作不是BD下发的。

谢谢，明白了。

显示全部楼层 · 发表于昨天 21:31

火绒双击没反应，智量双击杀

[病毒样本] Fake RVTools 可能的SmokedHam