Fake RVTools 可能的SmokedHam

显示全部楼层 · 发表于 2026-1-12 19:35:51

载荷有签名Wuhan Shuoxi Technology Co., Ltd.

主要部分位于Binary.bz.WrappedSetupProgram

https://wwbvl.lanzoul.com/iMRc23fyn0vc
密码:he95

显示全部楼层 · 发表于 2026-1-12 19:58:54

SEP scan miss

显示全部楼层 · 发表于 2026-1-12 20:14:23

360扫描miss

显示全部楼层 · 发表于 2026-1-12 20:31:26

有害项目：
TR/W32.Evo
C:\Users\Administrator\Downloads\RVtools-4.7.0.2.msi - 已隔离

显示全部楼层 · 发表于 2026-1-12 20:39:50

本帖最后由 AMD_Ryzen 于 2026-1-12 20:45 编辑

BEST 双击一段时候后拦截衍生物

重启后 kill 1x衍生物

显示全部楼层 · 发表于 2026-1-12 20:55:19

AMD_Ryzen 发表于 2026-1-12 20:39
BEST 双击一段时候后拦截衍生物

"未采取任何操作" 就语义不明确，感觉它啥也没干似的。
我印象中，拦截了命令行的执行

显示全部楼层 · 发表于 2026-1-12 20:59:11

Rukia 发表于 2026-1-12 20:55
"未采取任何操作" 就语义不明确，感觉它啥也没干似的。
我印象中，拦截了命令行的执行

AMSI接口扫描后，将恶意的结果发给系统组件处理，终止执行的动作不是BD下发的。

显示全部楼层 · 发表于 2026-1-12 21:04:01

本帖最后由 jijianan2007 于 2026-1-12 21:06 编辑

360双击杀衍生物

显示全部楼层 · 发表于 2026-1-12 21:05:08

huangzihang 发表于 2026-1-12 20:59
AMSI接口扫描后，将恶意的结果发给系统组件处理，终止执行的动作不是BD下发的。

谢谢，明白了。

显示全部楼层 · 发表于 2026-1-12 21:31:24

火绒双击没反应，智量双击杀

[病毒样本] Fake RVTools 可能的SmokedHam