疑似假wps

mzltest

vt验证码太痛苦了，楼下帮忙传一下vt看一下几家报毒是黑是白

---

zhwps-cn[.]com[.]cn -> https://wpsdownload[.]com[.]cn/donwnload/WPS_offlce_x64_256857.zip
使用相同下载域名的其他域名火绒都拦截了，这个没拦截。

下载：
https://yun.kuaiya.cn/r/fDZt7QEKZHfRyXdKRrp
https://c.wss.ink/f/jiixldpbsit 复制链接到浏览器打开
tria.ge没行为但是有一个查询系统语言的动作，估计是必须中文系统。
https://sandbox.ti.qianxin.com/s ... 4e78daf9d010e261ada

---

正好今天看到 https://bbs.kafan.cn/thread-2288931-1-1.html 那PAD总数量1.5k+了就借着发帖纪念一下。


我在样本区发的帖子都是从这里抽的，AI初审之后进到PAD列表，我人工复审之后发样本区。同样我能从一个下载链接拉出一堆入口链接发给火绒或者直接公开也是靠的这个PAD。

这次这个下载链接貌似不是新的，我这边搜索找到19个，挑了几个发现火绒有不拦截的。
我这边最早有记录是3/8（注：发v3.1的时候存量全部重新抓取了，那时候这域名是没有dns的状态，可能是弃用了）



最晚是到昨天


（注：最早、最晚代表我那边发现时间，不代表域名注册时间。虽然目前来看我这里的发现时间有一半都是域名注册一个月之内）

疑似一直都在用一个模板，这堆域名download links都是下面这样，合理怀疑那个sbs是没删干净的模板自带下载


搜那个sbs域名能发现64个入口域名，这里除了上面提到的火绒都拦截了

PS.其实这个下载域名我记得之前是一直发的都是官方包，可能是从某个时间开始狸猫换太子了。

莒县小哥

https://www.virustotal.com/gui/f ... 7654da9ebce43c23766

啊松

卡巴双击能杀衍生物的

wowocock

病毒名称：Trojan/Generic!25A227A7C00C8B95
病毒ID：25A227A7C00C8B95
病毒路径：C:\Users\yhg\AppData\Roaming\hcmfo\is-5OB37.tmp
操作类型：修改
操作结果：已处理，删除文件

进程ID：4956
操作进程：C:\Users\yhg\AppData\Local\Temp\is-R4QOR.tmp\WPS_Setup-mvys.tmp
操作进程命令行："C:\Users\yhg\AppData\Local\Temp\is-R4QOR.tmp\WPS_Setup-mvys.tmp" /SL5="$30346,280479163,952320,C:\Users\yhg\Desktop\新建文件夹\wp (1)\WPS_Setup-mvys.exe"
父进程ID：5568
父进程：C:\Users\yhg\Desktop\新建文件夹\wp (1)\WPS_Setup-mvys.exe

tony099

啊松 发表于 2026-3-27 11:12
卡巴双击能杀衍生物的

我上报一下吧

xjwtzq

奇安信kill

心醉咖啡

360