Fakeapp 1x(银狐？)

c199529

www[.]adobe[.]hl[.]cn -> adobe[-]pdf[.]oss[-]cn[-]hongkong[.]aliyuncs[.]com/Adobe[_]PDF[_]x64[.]rar
下载页面显示187.6MB，实际下载5.4MB

VT首传 14/72
www.virustotal.com/gui/file/e10c ... 98b1c34655b/details
微步报银狐？
s.threatbook.com/report/file/e10cccf771c50d06e4f695e993862d4d5c8b6c0d30513db885f3398b1c34655b

https://c.wss.ink/f/ji9ok1q9l03

xiaozhu009

分个流https://wwbxq.lanzouq.com/iTGaG3lkxgba


360杀毒扫描日志

病毒库日期：2026-03-19
扫描时间：2026-03-26 11:50:15
扫描用时：00:00:05
扫描类型：右键扫描
扫描文件总数：1
项目总数：0
清除项目数：0

扫描选项
----------------------
扫描所有文件：否
扫描压缩包：否
发现病毒处理方式：由用户选择处理
扫描磁盘引导区：是
扫描 Rootkit：是
使用云查杀引擎：是
使用QVM人工智能引擎：是
扫描建议修复项：是
常规引擎设置：

扫描内容
----------------------
C:\Users\33213\Downloads\Adobe_PDF_x64.exe


白名单设置
----------------------
C:\Users\33213\Downloads\解密部分文件.exe
C:\Users\33213\Downloads\银狐木马\Bandicam\App\Bandicam\winspool.drv
g:\wndmifit\sssm.bat


扫描结果
======================
未发现威胁文件

莒县小哥

用户类型: 发起者
应用程序名称: WinRAR.exe
应用程序路径: C:\Program Files\WinRAR
组件: 文件反病毒
结果描述: 检测到
类型: 木马
名称: UDS:Backdoor.Win32.Xkcp
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: Adobe_PDF_x64.exe
对象路径: C:\Users\Administrator\Downloads
对象的 MD5: BC5E5132FBECE77590BC74EE4202DE0F
原因: 云保护

scottxzt

双击

lingchenheiye

ESET解压杀

c199529

腾讯电脑管家18

---------------------
2026-3-30 02:30:40 MD5:2983ff0c8506096d5f9739443e7edf61
Adobe_PDF_x64\Adobe_PDF_x64.exe [Win32.Backdoor.Xkcp.Nsmw]
---------------------

腾讯anny

莒县小哥 发表于 2026-3-26 12:35
用户类型: 发起者
应用程序名称: WinRAR.exe
应用程序路径: C:\Program Files\WinRAR

这是哪个软件的检测

莒县小哥

腾讯anny 发表于 2026-4-1 15:17
这是哪个软件的检测

卡巴斯基

wadfa

确认为恶意程序（木马/Dropper）

  尽管 CAPE 的 malscore 为 0.0（无签名命中），但行为分析证据非常充分，这是一个 伪装成 Adobe PDF
  安装程序的木马下载器/投放器。

  ---
  1. 样本基本信息

  ┌──────────┬──────────────────────────────────────────────────────────────────┐
  │   项目   │                                值                                │
  ├──────────┼──────────────────────────────────────────────────────────────────┤
  │ 文件名   │ Adobe_PDF_x64.zip（AES 加密 ZIP）                                │
  ├──────────┼──────────────────────────────────────────────────────────────────┤
  │ SHA256   │ 37e3b73da4e20bb6483baa3b719b417319a57fb3da36fc1035f591f88839d9e8 │
  ├──────────┼──────────────────────────────────────────────────────────────────┤
  │ 分析环境 │ Win11 / KVM                                                      │
  ├──────────┼──────────────────────────────────────────────────────────────────┤
  │ 运行时长 │ 193 秒                                                           │
  └──────────┴──────────────────────────────────────────────────────────────────┘

  2. 关键恶意行为

  (a) 社会工程伪装

  截图显示样本运行后弹出伪造的 Adobe Acrobat Reader
  安装界面（中文版），显示"安装进行中"、"正在下载..."，这是典型的社工欺骗手段，让用户以为在正常安装 Adobe
  Reader。

  (b) 恶意文件释放（Dropper）

  Adobe_PDF_x64.exe 执行后向磁盘写入两个 PE 文件：
  - C:\ProgramData\Golden\~do.exe — 1.6MB, PE32 (x86)，以 MZ 头写入
  - C:\ProgramData\Golden\Run_30607602.exe — 4MB, PE32+ (x64)，以 MZ 头写入

  然后通过 cmd.exe /c "C:\ProgramData\Golden\~do.exe" 立即执行释放的木马。

  (c) COM 对象劫持 / UAC 绕过

  这是最关键的恶意行为：

  注册表写入:
    HKCU\Software\Classes\CLSID\{2E044C27-7B69-4DAF-801D-BA6CD9F80AF1}\Shell\Manage\command\(Default)
    = "C:\ProgramData\Golden\Run_30607602.exe" -bypass

  随后执行:
    explorer.exe shell:::{2E044C27-7B69-4DAF-801D-BA6CD9F80AF1}

  CLSID {2E044C27-7B69-4DAF-801D-BA6CD9F80AF1} 对应 Windows "计算机管理" Shell 文件夹。这是一个 已知的 UAC
  绕过技术（MITRE ATT&CK T1548.002），通过劫持 COM 对象，让 explorer.exe 在高权限上下文中加载攻击者的
  payload（Run_30607602.exe -bypass）。-bypass 参数名本身就直接表明了意图。

  (d) ~do.exe 的可疑网络行为

  - 65,674 次 API 调用（极度活跃）
  - 使用过时的 IE7 User-Agent：Mozilla/4.0 (compatible; MSIE 7.0; ...)
  - 连接 Adobe 合法域名作为掩护：use.typekit.net、p.typekit.net、rdc.adobe.io
  - 大量 TLS 加密通信（SslDecryptPacket: 4,780 次，BCryptDecrypt: 4,765 次）
  - Typekit 的 tracking pixel 请求中暴露了本地路径：h=C%3A%5CProgramData%5CGolden%5C~do.exe

  (e) 反分析/反沙箱技术

  ┌──────────────┬────────────────────────────────────────────────────────────────────────┐
  │     技术     │                                  证据                                  │
  ├──────────────┼────────────────────────────────────────────────────────────────────────┤
  │ 反调试       │ IsDebuggerPresent 多次调用                                             │
  ├──────────────┼────────────────────────────────────────────────────────────────────────┤
  │ 鼠标活动检测 │ GetCursorPos 调用 1,297 次（检测是否为真实用户操作环境）               │
  ├──────────────┼────────────────────────────────────────────────────────────────────────┤
  │ 延时执行     │ NtDelayExecution 调用 2,956 次（规避沙箱超时检测）                     │
  ├──────────────┼────────────────────────────────────────────────────────────────────────┤
  │ 进程枚举     │ 导入 CreateToolhelp32Snapshot、Process32FirstW/NextW（可枚举系统进程） │
  └──────────────┴────────────────────────────────────────────────────────────────────────┘

  (f) 释放的 PE 特征

  释放的 Run_30607602.exe（6.1MB）:
  - .rsrc 节的熵值高达 7.95（接近随机，强烈暗示内嵌加密/打包数据）
  - 无数字签名
  - 导入了注册表操作、进程创建、内存保护修改等敏感 API

  3. 攻击链总结

  Adobe_PDF_x64.zip (AES 加密)
    └─ Adobe_PDF_x64.exe (伪装安装程序)
         ├─ 显示伪造的 Adobe Reader 安装界面 (社工欺骗)
         ├─ 释放 C:\ProgramData\Golden\~do.exe (木马主体)
         │    └─ cmd.exe /c ~do.exe
         │         └─ 大量加密网络通信 + 反沙箱检测
         ├─ 释放 C:\ProgramData\Golden\Run_30607602.exe (提权payload)
         └─ COM 对象劫持 → UAC 绕过
              └─ explorer.exe shell:::{2E044C27-...}
                   └─ Run_30607602.exe -bypass (以高权限执行)

  4. 威胁评级

  ┌────────────┬───────────────────────────────────┐
  │    维度    │               评级                │
  ├────────────┼───────────────────────────────────┤
  │ 恶意确信度 │ 高 — 行为证据链完整               │
  ├────────────┼───────────────────────────────────┤
  │ 危害等级   │ 高 — UAC 绕过 + 持久化 + 加密通信 │
  ├────────────┼───────────────────────────────────┤
  │ 类型       │ Trojan Dropper / UAC Bypass       │
  ├────────────┼───────────────────────────────────┤
  │ 攻击目标   │ 面向中文用户（中文安装界面）      │
  └────────────┴───────────────────────────────────┘

  CAPE malscore 为 0 是因为 YARA 规则和行为签名未覆盖此变种，但
  行为证据确凿无疑是恶意程序。