碰到只木马，成功用毛豆阻止

paink

使用骡子下载某破解软件，然后就中了。
下载到的压缩包文件目录：


Setup.exe文件属性被修改为一些知名软件，用以迷惑用户：


一时疏忽，关闭了WindowsDefender，并双击……
然后，就开始作妖了。好怕怕，吓得我赶紧装上了好几年没玩的毛豆，然后，就被HIPS阻止了。

HIPS日志：


沙箱日志也有，也很全面：


样本：
链接: https://pan.baidu.com/s/11fUeP19-sYgkdAOXkYXwsQ?pwd=dsfi 提取码: dsfi

=======================================================================
入侵流程与行为分析（根据日志总结）

• 用户执行 D:\Setup.exe ；
• D:\Setup.exe 通过 powershell.exe 执行 ps 脚本；
• powershell 通过命令行主机（conhost.exe ）执行一系列动作；
• 触发 UAC （consent.exe），它由 svchost.exe 启动；
• 用户跳过 UAC ；
  

脚本执行细节

• powershell 脚本通过 conhost.exe 创建木马文件 %UserProfiles%\AppData\Roaming\hwxvi...\ohngn....exe ；
• conhost.exe 为 ohngn....exe 注册自启动项；
• conhost.exe 执行 ohngn....exe ；
  

ohngn....exe 执行细节

• ohngn....exe 执行 powershell 脚本；
  
  • powershell.exe 启动 conhost.exe ；
    
• ohngn....exe 执行 cmd 脚本；
  
  • cmd.exe 启动 conhost.exe ；
  • cmd.exe 启动 wusa.exe ；
    
• ohngn....exe 执行 sc 命令；
  
  • sc.exe 启动 conhost.exe ；
  • sc.exe 启动 wusa.exe ；
  • sc.exe 启动 WerFault.exe ；
    

貌似是先入了沙，后面有可疑行为，然后就HIPS弹窗，接着我选择阻止。它会在 C:\Users\XXX\AppData\Roaming 下创建相应的文件和文件夹，同时注册自启动项，其他行为未知。
如果手动删除了这些文件，同时禁用或删除相应的启动项，就会触发自动修复……
Comodo手动病毒扫描pass，WD虽然能隔离并删除这些文件，但阻止不了修复过程。

lgq518

看来毛豆的自动入沙，有时候还是有点用的

paink

lgq518 发表于 2026-5-17 11:14
看来毛豆的自动入沙，有时候还是有点用的

是啊，WD能检测到也能删除，但阻断不了木马运行的整个链条机制 ，这个时候毛豆正好对症。

x-天秤座

你这两个，双击后，被我前几天安装的猴子杀毒都拦截和删除了。

paink

x-天秤座 发表于 2026-5-17 17:11
你这两个，双击后，被我前几天安装的猴子杀毒都拦截和删除了。

本来就不是什么了不起的病毒。
问题是，很多时候你会手动关闭杀毒软件，然后再去运行它……

HelloCode

毛豆自动入箱+hips+文件评级是真神，要不是一直无脑入箱hh弹窗多 + 扫描的时候都要先更新数据库 就把毛豆当主力机杀软了

paink

HelloCode 发表于 2026-5-18 05:26
毛豆自动入箱+hips+文件评级是真神，要不是一直无脑入箱hh弹窗多 + 扫描的时候都要先更新数据库 就把毛豆当 ...

毛豆的杀毒貌似被阉割了。
免费版下载的病毒库缩水了很多（和以前600MB大小相比），现在只有几十MB，程序就告诉你是最新的了。

从这个链接还能下载到600MB的特征库：
cdn.download.comodo.com/av/updates58/sigs/bases/bases.cav

HelloCode

paink 发表于 2026-5-18 06:13
毛豆的杀毒貌似被阉割了。
免费版下载的病毒库缩水了很多（和以前600MB大小相比），现在只有几十MB，程 ...

是的，杀毒这方面绝对缩水了，还有它的防火墙确实可以
感谢分享特征库哇qaq

paink

HelloCode 发表于 2026-5-18 06:35
是的，杀毒这方面绝对缩水了，还有它的防火墙确实可以
感谢分享特征库哇qaq

忘记说了一点，“扫描前先更新数据库”也是可以设置为不更新的。

modern3

很好奇你从哪里下载的那种软件。。。我电脑上也安装一堆pj软件，但没碰到过病毒。。。。。。