System.Collections.Modle.dll，Trojan/Generic，过火绒自带和360反微步修复计划

3306-1

来源
https://www.52pojie.cn/thread-2110064-1-1.html by Shoto（本地发现）

名称：System.Collections.Modle.dll
大小：94400000 字节 ：90 MiB
CRC64：279EC216811F9BD2
XXH64：B083C7D44850C37D
SHA256：fc6eaf85c4e112e0fdb1c17a91ba9653e4e8ce5958dfc194e702c31ab840fbe3

原发现路径
C:\Windows.old\Windows\Microsoft.NET\assembly\GAC_MSIL\System.Collections.Modle\v4.0_1.0.0.0__fffa069857d3563b\System.Collections.Modle.dll

2026-05-29 19:38 更新

对应地址
C:\Windows\Microsoft.NET\assembly\GAC_MSIL\System.Collections.Modle\v4.0_1.0.0.0__fffa069857d3563b\System.Collections.Modle.dll
正常文件，是深圳深蕾公司提供的声卡驱动程序 SenaryAudioApp.exe 和 SenaryAudioApp.Svc.exe 调用和签名，文件大小和病毒相似，均为 90 兆左右

火绒扫描（我自己的本地扫描结果）
6.0.9.6 版本
05-27 19:34 病毒库

2026/05/29 07:48:25
病毒防护
文件实时监控
发现病毒 Troian/Generic!E95464B012730CCC 处理

病毒名称：Trojan/Generic!E95464B012730CCC
病毒 ID：E95464B012730CCC
病毒路径：System.Collections.Modle.dll
操作类型：修改
操作结果：已处理，删除文件

微步
https://s.threatbook.com/report/file/fc6eaf85c4e112e0fdb1c17a91ba9653e4e8ce5958dfc194e702c31ab840fbe3

PDB 调试符
E:\K360过火绒自带和360反微步修复计划最终版\过火绒自带和360反微步修复计划最终版 - 副本
\System.Collections.Modle\obj\Release\System.Collections.Modle.pdb

52pojie by Henglie 点评
看到这行小字，直接可以得出结论了，这确实是一个恶意软件。
1）它的版本就只写了1.0.0.0
2）它没有任何数字签名，绝不是微软的文件
3）调试文件信息文件夹目录写着“K360过火绒自带和360反微步修复计划最终版”，谁家正常软件的开发路径起这样的文件夹目录？很明显就是为了对抗杀软来的

奇安信沙箱
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=9bf78b4f792c80f106fe09dd0997c9d2de766d11

助手生成的文件信誉
文件信誉结果显示，该文件被标记为恶意，属于 AgentB 家族，类型为木马（Trojan）

助手生成的结论综述
综合各项检测结果，沙箱判定该文件是恶意的。主要原因如下：首先，文件信誉和多家主流杀毒引擎（Avast, QOWl, Kaspersky）均明确将其识别为木马或恶意软件；其次，行为分析捕获到样本具有反虚拟化检测行为，这是恶意软件常见的对抗分析手段；最后，威胁情报也确认了该样本与恶意活动及安装行为有关联。尽管RAS引擎未能给出明确的家族分类，但结合其他维度的强证据，足以认定其恶意性质。

样本（原帖作者提供）
提取码：JBBF、52pj、52ji，解压码：52pojie
https://pan.quark.cn/s/496717942377?pwd=JBBF
https://pan.baidu.com/s/1rHUdRI7IuRB7GxwWlgQarw?pwd=52pj
https://1819651333.share.123865.com/123pan/3GhEjv-CFS1d?pwd=52ji

莒县小哥

飞翔的蒲公英

下载
绿盟（江民KV）扫描安全。

安天：报Trojan/Win32.Kepavll（附带的解释仅供参考：该木马主要依托破解工具、盗版软件、非正规资源下载渠道进行大范围扩散。主机被感染后，恶意程序会长期驻留系统，通过篡改启动项、进程注入、隐藏驱动等方式实现持久化运行，同步对抗主流安全防护程序；自 2024 年以来的新增变种，进一步优化了 C2 通信加密机制，常态化窃取浏览器凭证、本地文档、账号密码等敏感数据并外传，同时预留远程控制后门，支持攻击者下发指令、横向渗透、批量下载挖矿程序、广告插件及其他衍生恶意载荷。截至 2026 年，该家族仍是个人终端与中小型办公环境高发威胁之一，依靠持续免杀改造维持存活，结合长期泛滥的盗版软件生态持续传播）

wowocock

.NET程序的随意劫持。

ahhh

eis   腾讯管家  kill

ababababab

360解压杀

类型：
感染型病毒(Win32/Trojan.Agentb.HgkAUHkA)

描述：
感染型病毒(Win32/Trojan.Agentb.HgkAUHkA)

扫描引擎：
360云查杀引擎

文件路径：
E:\system.collections.modle.dll

文件指纹(MD5)：
895a193f4cc9ce82e396d29881450dd2

吃瓜群众第123位

趋势科技云端版 kill