fakeapp 1x

微微的笑

iKun通过QQ闪传分享了【chromeXX_64.zip】
链接：https://qfile.qq.com/q/xgPTlSNeNM


对比两个同款样本的VT最新检测结果，谁在拉黑，谁在提取特征入库，真是一目了然了。
1.0：

2.0：

wowocock

病毒名称：Trojan/Generic!C497B1F888E7C730
病毒ID：C497B1F888E7C730
病毒路径：C:\ProgramData\Intel\Script.ps1
操作类型：执行
操作结果：已处理，删除文件

进程ID：6920
操作进程：C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
操作进程命令行：powershell -NoProfile -ExecutionPolicy Bypass -File C:\ProgramData\Intel\Script.ps1
父进程ID：8288
父进程：C:\Users\yhg\Desktop\新建文件夹\chromeXX_64\chromeXX_64.exe

安装包是否拉黑并不重要，关键功能阻断即可。

wowocock

即使关闭了安全软件，中毒后用火绒139版本的 ，火绒恶意木马专杀查杀即可。

superLYT

迈克菲，火绒，护士和卡巴
BD右键和VT结果一致

蛋君

Avira kill

啊松

卡巴没反应

dd2006

C:\ProgramData\Intel\Script.ps1
C:\Program Files\Windows Mail\wab.dll
C:\ProgramData\Intel\Pocy.xml
在临时文件里释放了，是安装程序正常生产的吗：oSpecial.ini、modern-wizard.bmp、__PSScriptPolicyTest_l2xzijco.f3q.ps、__PSScriptPolicyTest_qbuac3um.i3j.psm1、__PSScriptPolicyTest_ijvjqft5.yr4.ps1、__PSScriptPolicyTest_an3a5yao.zgi.psm1、__PSScriptPolicyTest_njeb1q5k.0pf.ps1、__PSScriptPolicyTest_y51k2j14.xg4.psm1、__PSScriptPolicyTest_wy4oph41.fxv.ps1、__PSScriptPolicyTest_xi1oziy0.31m.psm1


红伞 kill
瑞星 kill
SEP kill
华为 miss

LingGao

Microsoft Defender

“chromeXX_64.exe”
Trojan:Win32/Wacatac.H!ml

心醉咖啡

360

驭龙

卡巴已经沦落到拉黑行列里了吗？难以置信啊，唉，样本区来多了，就真的容易想换软件