劣质bat病毒

xskll100bg

确实很劣质
样本:https://wwp.lanzoup.com/iJRHD3nksnad
提取码:haal

心醉咖啡

360

846472713

QAX

lingchenheiye

ESET触发liveguard，但是报安全

YYT2013

这是一个典型的勒索软件（Ransomware）恶意样本，具有高度危险性和破坏性。以下是详细的技术分析：

核心恶意行为

1. 文件加密功能
使用AES-256 + RSA-2048混合加密算法
加密文件类型：.txt, .cpp, .py, .rs, .c, .docx, .jpg, .png, .mp4, .pdf, .zip, .rar等
加密后添加扩展名.s_enc
本地密钥存储在%ProgramData%SysData目录

2. 传播机制
局域网传播：扫描192.168.0, 192.168.1., 172.16.0, 10.0.0.网段
弱密码爆破：使用67个常见弱密码（如admin, 123456, root123等）尝试连接IPC$共享
邮件传播：通过Outlook自动发送带恶意附件的邮件给联系人（主题："一份神秘大礼"）
U盘传播：创建autorun.inf实现自动运行
云存储传播：感染百度网盘、OneDrive等云同步目录

3. 系统破坏
终止安全软件：强制结束Windows Defender、360安全卫士、火绒等进程
禁用安全服务：将WinDefend、360sd服务设置为禁用状态
系统持久化：
  注册表启动项：HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRun
  创建守护进程(guard.bat)确保恶意程序持续运行
禁用注册表工具：DisableRegistryTools = 1

4. 勒索要求
赎金金额：0.2 BCH（比特币现金）
支付地址：bitcoincash:qz8x9m7s6n5k4j3h2g1f0e9d8c7b6a5s4d3f2g1h0j9k8l7m6n5b4v3c2x1z9a8s7d6f5g4h3j2k1l0m9n8b7v6c5x4d3s2a1z9e8w7q6r5t4y3u2i1o0p9a8s7d6f5g4h3j2k1l0m9n8b7v6c5x4d3s2a1z
联系方式：17568637361@outlook.com
威胁内容：声称自行解密会导致文件永久损坏

技术特点

加密实现
生成RSA-2048密钥对
生成随机AES-256密钥
用RSA公钥加密AES密钥
用AES密钥加密文件内容，使用CBC模式+PKCS7填充
将IV向量(16字节)与密文合并存储

反分析措施
需要管理员权限才能完整执行
隐藏关键文件（+h +s +r属性）
创建多个守护进程相互保护
显示虚假警告信息

特殊功能
屏幕锁定：创建kill.bat进程循环重启explorer.exe
洋葱地址：显示暗网地址gakergame-hakertloo.onion等
权限提升：使用UAC绕过技术获取管理员权限

安全建议

立即采取的措施：
断开网络：物理断开受感染机器的网络连接
不要支付赎金：支付无法保证恢复文件，且资助犯罪活动
系统隔离：从网络中移除受感染设备
专业处理：联系专业的安全响应团队

预防措施：
定期备份重要数据（离线备份）
更新系统和软件补丁
禁用不必要的SMB共享
使用强密码策略
部署终端安全防护软件
禁用U盘自动运行功能

这是一个高度复杂的勒索软件样本，集成了多种传播方式和反检测技术，对个人和企业数据安全构成严重威胁。建议在专业安全人员指导下进行处置。

千问生成，但是这里说句这个kill杀毒方式是不可能实现的，并且火绒的进程也不对啊

Xopii

lingchenheiye 发表于 2026-4-19 12:09
ESET触发liveguard，但是报安全

不知道怎么回事 ，这个文件昨天我就提交上报了，而且只是一个批处理，刚才试了试EIS扫描仍然miss

xskll100bg

豆包:
SdataNom勒索类恶意批处理脚本深度技术分析报告

一、样本基础溯源信息

样本载体：Windows批处理脚本（BAT格式）
溯源来源：卡饭论坛安全样本共享板块
原始发帖标识：发帖用户xskll100bg
恶意家族标识：自定义命名SdataNom勒索蠕虫复合样本
运行适配环境：全系列Windows桌面端及服务器端系统，依赖PowerShell原生组件、系统注册表、IPC网络共享、磁盘驱动服务原生接口，无额外第三方依赖，兼容性极强

二、前置权限闭环提权机制研判

脚本启动后优先编码适配UTF-8字符集，规避中文系统控制台乱码导致的执行中断问题，同步开启系统变量延迟扩展功能，保障批量循环恶意逻辑稳定运行。核心权限获取分为两级闭环流程，无任何权限破解漏洞利用，纯系统原生接口合规劫持提权：第一重UAC强制弹窗提权，调用Shell.Application组件生成临时VBS脚本，绕过静默提权拦截策略，强制拉起脚本管理员权限运行，循环重试直至提权成功；第二重TrustedInstaller最高系统权限劫持，精准匹配系统专属安全标识符S-1-5-80对应权限组，自动手动启用TrustedInstaller系统核心服务，检索服务关联进程句柄，依托系统底层安装信息配置文件突破系统核心权限壁垒，彻底获取磁盘读写、注册表全域篡改、系统服务启停、跨设备远程管控全量最高权限，为后续加密、横向渗透、持久化部署扫清所有系统权限拦截屏障。

三、非对称+对称双层加密密钥架构拆解

脚本落地最高权限环境后，自动在系统程序数据专属隐藏目录%ProgramData%\SysData创建私有密钥存储目录，全程静默无弹窗无日志留存。采用工业级合规加密算法组合搭建勒索密钥体系，加密强度无暴力破解可行性：调用2048位RSA非对称加密算法原生接口，同步生成私钥priv.key、公钥pubKey双组密钥文件本地封存；随机生成32位AES原生高强度对称加密会话密钥aes.key作为核心文件加密密钥，使用RSA公钥对AES核心密钥进行二次加密生成加密密钥归档文件；最后对原始AES密钥执行SHA256哈希运算生成校验指纹auth.dat文件，用于后续受害者付费后密钥合法性核验。整套密钥仅本地原生生成留存，无云端外传链路，密钥唯一性绑定单台受害设备，大幅提升后续数据解密维权难度。

四、多链路内网横向蠕虫传播能力分析

内置专属内网网段扫描池，精准覆盖局域网高频私有IP段192.168.0、192.168.1、172.16.0、10.0.0四大核心内网网段，逐IP毫秒级存活ping探测，低延时无网络卡顿占用。内置海量通用弱口令爆破字典，涵盖全网运维、设备初始、办公高频弱口令及大小写混合组合弱口令百余种，匹配admin、administrator、root等全网高频运维特权账号，批量尝试建立IPC$远程匿名共享连接。爆破成功攻陷内网终端后，自动将恶意本体脚本投递至目标设备公共文档目录，同步篡改目标设备开机启动注册表项，实现内网下线终端开机自启驻留，全程无内网交互提示、无设备登录日志告警，可快速穿透局域网办公电脑、内网服务器、工控办公终端，实现全域内网批量沦陷扩散。

五、终端安全防护体系专项对抗行为

针对性适配国内主流终端安全防护生态，定向闭环关停灭活防护组件：强制进程查杀终端核心防护进程，涵盖微软自带Defender关联防护进程MsMpEng.exe、360安全卫士核心查杀进程360sd.exe、火绒终端防护huorong.exe，直接切断实时病毒拦截、文件行为审计、内网入侵检测核心能力；后台静默修改系统服务启动项配置，将Windows Defender系统自带杀毒服务、360全域安全防护服务永久设置为禁用启动状态，重启设备后防护无法自动复原；全程规避安全软件行为沙箱拦截，所有恶意文件操作、注册表篡改、进程调用均后台静默执行，无高危行为弹窗告警，彻底剥离受害终端所有主动安全防御能力，保障后续全磁盘文件加密无任何防护阻断。

六、全域全格式用户数据高强度加密行为

完成防护对抗与内网扩散后，脚本遍历本机C、D、E、F等全物理磁盘分区，自动规避系统Windows核心目录、程序安装目录，仅靶向锁定用户私人核心业务与个人文件。加密覆盖全场景高价值文件格式，包含文本文档、代码源码文件、办公Word文档、图片图像素材、音视频多媒体文件、压缩归档数据包、程序开发工程文件等全类别日常办公及私有数据；采用AES-CBC标准加密模式搭配PKCS7合规填充协议，自动随机生成16位独立加密偏移向量，加密完成后原始文件直接物理删除无残留备份，加密文件统一追加专属后缀.s_enc，文件图标、格式标识彻底失效，用户常规工具无法读取预览。无本地解密预留后门，无加密中断回滚机制，批量加密过程不可逆。

七、多维度全域持久化驻留留痕设计

为保障恶意程序长期受控驻留、防止设备重启后恶意流程失效，搭建多重不可逆驻留链路：一是移动存储介质捆绑传播，遍历识别所有外接U盘、移动硬盘等可移动磁盘，写入恶意副本脚本并篡改自动运行配置文件，外接设备接入新设备即可自动触发感染；二是全域注册表多层锚定，同步写入当前用户、本地机器全域开机启动注册表键值，同时篡改系统文件右键菜单、文件夹右键菜单关联恶意脚本，任意右键操作均可触发恶意程序重启；三是云盘目录劫持备份，主动检索百度网盘、OneDrive、本地共享云盘专属同步目录，强制拷贝恶意脚本至云盘同步文件夹，依托云盘跨设备同步特性实现多终端联动感染；四是系统权限锁死防护，篡改组策略注册表项禁用系统注册表编辑工具，普通用户无法手动删除驻留注册表键值，无法手动溯源清理恶意程序本体。

八、附属恶意联动后台驻留模块部署

脚本自动生成三款后台联动恶意辅助程序，全程隐藏后台静默运行：后台守护进程guard.bat循环实时监测恶意主程序运行状态，一旦检测进程被手动结束、异常关闭，即刻毫秒级自动重启勒索主脚本，杜绝手动终止恶意流程；桌面进程干扰kill.bat不间断循环强制结束并重启系统桌面资源管理器进程，持续干扰用户正常电脑操作，施压逼迫受害者主动配合缴纳勒索资金；离线核验解密工具dec.bat本地封存绑定密钥校验指纹，仅攻击者专属私钥可通过哈希核验解锁，内置虚假嘲讽交互话术，无自主离线应急解密能力。所有辅助模块均添加系统隐藏、只读、核心系统三重属性，常规文件管理器无法查看、无法删除、无法篡改。

九、勒索诱骗溯源与资金勒索链路

文件加密全域完成后，自动在密钥目录生成明文勒索警示文档，清晰标注完整勒索履约流程：指定专属Outlook对接溯源邮箱17568637361@outlook.com作为唯一沟通渠道，固定比特币现金大额收款长地址作为唯一资金结算账户，明确要求受害者定额加密货币转账，提交转账凭证对接攻击者申领专属解密密钥；同步弹窗暗网溯源链接提示，预留境外隐秘网络对接通道，后续可拓展批量二次勒索、隐私数据倒卖黑产链路；全程无第三方担保、无合规维权通道，资金转账后无解密履约保障，存在付费后永久数据损毁、二次敲诈双重高危风险。

十、综合安全危害全域研判结论

本次研判SdataNom复合恶意BAT脚本，整合高强度文件勒索加密、内网蠕虫横向批量传播、终端安全防护精准灭活、多维度永久后台驻留、外接设备跨介质扩散、云盘跨终端联动感染多重高危恶意能力，属于高危害复合型勒索蠕虫恶意样本。适配所有民用办公、小型商用Windows终端环境，无复杂部署门槛，落地即全链路自动化恶意执行，破坏全域核心用户数据、瘫痪内网办公体系、劫持终端全程控制权，同时关联境外暗网黑产资金链路，极易引发企业办公数据批量损毁、个人隐私数据泄露、内网全域设备集体沦陷、财产直接损失多重安全事件，具备高强度传播破坏力与黑产牟利危害性，属于高危必查杀全域恶意脚本样本。
搞不懂为什么要写那么长，，，

c199529

腾讯电脑管家18

不报毒