#FakeApp 向日葵/Todesk 1x VT1

Loyisa

1. hxxps://qjhc.jinbor3.cn/
   
2. hXXps://dmrq.jinbor3.cn/

复制代码

https://qfile.qq.com/q/QFeX3HQwY8
https://www.virustotal.com/gui/f ... 63675c3b1/detection
https://app.any.run/tasks/ab832ccd-f01d-4421-90b1-2bea7178bf4b

莒县小哥

asdfnbbj

360扫描不报

fdsax

best

scottxzt

SysCall 直接系统调用告警完整解读
这是 EDR 防护系统拦截的恶意免杀行为，触发程序为 Windows 系统自带的msiexec.exe（Windows 安装程序），本质是恶意代码借壳系统进程绕过安全检测。
🔍 告警核心信息
表格
项目        详情
告警类型        SysCall（拦截直接系统调用）
宿主进程        C:\Windows\System32\msiexec.exe（Windows Installer 安装服务）
恶意来源        临时文件 C:\windows\Installer\MSI1EF0.tmp（真正执行恶意代码的载体）
对应 ATT&CK 技术        T1106 Native API 直接系统调用（战术：代码执行、防御规避）
行为本质        恶意代码绕过 Windows 高层 API，直接调用底层系统内核指令，逃避杀毒 / EDR 监控，是高级恶意软件的典型免杀手段
进程信息        PID=3348，文件创建于 2025-12-26
⚠️ 深度风险分析
借壳系统进程的隐蔽性
msiexec.exe是 Windows 官方安装程序，正常情况下不会使用裸系统调用；本次是恶意.tmp临时文件注入到该进程，利用系统进程的信任身份执行恶意操作，普通杀毒软件极易放行。
🛠️ 紧急处置步骤（按优先级执行）
终止宿主进程
任务管理器结束 PID=3348 的msiexec.exe，切断恶意代码运行。
删除恶意临时文件
进入C:\Windows\Installer\，删除MSI1EF0.tmp及近期陌生.tmp文件。

wowocock

病毒名称：Backdoor/Lotok.gs
病毒ID：A5668D0B39DF682D
病毒路径：C:\Windows\Installer\MSIDA88.tmp
操作类型：修改
操作结果：已处理，删除文件

进程ID：844
操作进程：C:\Windows\System32\msiexec.exe
操作进程命令行：C:\Windows\system32\msiexec.exe /V
父进程ID：752
父进程：C:\Windows\System32\services.exe

ahhh

miss

lsjnh

360扫描不报