[VT 首传 2/71] 点击切换简体中文语言包 1X

谈谈MEMZ

@Bocchi通过QQ闪传分享了【点击切换简体中文语言包 (2).zip】
链接：https://qfile.qq.com/q/nc6sx4oiXe
VT 首传 2/71 非常美味 https://www.virustotal.com/gui/f ... 2023d00af?nocache=1

Fake玄武安全卫士 疑似新团队
执行后提示 TG 链接是正常的 此语言包具有 timeout 需要等待 5~10 分钟才会有下一步操作





Cortex XDR KIll 手法比较新颖(在语言包这个类目里面)

a2650183122

卡巴
事件: 检测到恶意对象
用户类型: 发起者
应用程序名称: WinRAR.exe
应用程序路径: C:\Program Files\WinRAR
组件: 文件反病毒
结果描述: 检测到
类型: 木马
名称: HEUR:Trojan.Win64.Generic
精确度: 启发式分析
威胁级别: 高
对象类型: 文件
对象名称: 点击切换简体中文语言包 (2).exe
对象路径: D:\Downloads\点击切换简体中文语言包 (2)
对象的 MD5: B3E7499628810ECB2FDC460C48B0906C
原因: 专家分析
数据库发布日期: 昨天，2026/3/28 23:40:00

ulyanov2233

essp miss

asdfnbbj

360

xjwtzq

奇安信miss

scottxzt

Trojan:Win32/Wacatac.H!ml

file: F:\点击切换简体中文语言包 (2)\点击切换简体中文语言包 (2).exe

UNknownOoo

应该还是和之前那些家族同源的（至少框架应该是同一个），初始ShellCode没换



火绒
运行：内存防护捉后续反射加载的dll

1. 病毒名称：Trojan/ShellLoader.act
   
2. 病毒ID：35F12F28981E3E8D
   
3. 虚拟地址：0x0000000080000000
   
4. 映像大小：1.6MB
   
5. 是否完整映像：否
   
6. 数据流哈希：4462eb0c
   
7. 操作结果：处理成功，进程已结束
   
8. 进程ID：3888
   
9. 操作进程：C:\Users\UnknownOoo\Desktop\点击切换简体中文语言包 (2).exe
   
10. 操作进程命令行："C:\Users\UnknownOoo\Desktop\点击切换简体中文语言包 (2).exe"
    
11. 父进程ID：5976
    
12. 父进程：C:\Windows\explorer.exe
    
13. 父进程命令行：C:\Windows\Explorer.EXE

复制代码

123456aaaafsdeg

kkdy

本来想测测冰盾的，但KART的PDM快冰盾一步
退出PDM后冰盾先后拦截资源管理器修改和联网行为，但好像之后就没有动静了？
有人测过火绒的内存防护能拦截，我就不测火绒了

asbjdj

scottxzt 发表于 2026-3-29 09:47
攻击面减少

F:\010EditorPortable\010EditorPortable.exe

发串了吧