FakeTG 语言包 1x

UNknownOoo

VT初扫：6/71

西风萧雨

卡巴扫描MISS    360：木马            卡巴OP检出：https://opentip.kaspersky.com/11 ... /results?tab=upload

scottxzt

运行后，miss提交微软
Trojan:Win32/Wacatac.B!ml
file: F:\Fake\-点击安装简体中文包-.exe

莒县小哥

ahhh

eis   腾讯管家   miss

莒县小哥

ahhh 发表于 2026-6-4 11:55
eis   腾讯管家   miss

Tencent
Backdoor.Win32.Phish.16003893

飞翔的蒲公英

· 绿盟（江民KV）：扫描安全，双击后没动作。

· 瑞星v17：扫描安全，双击后没动作。

· 腾讯IOA：扫描报Win32.Backdoor.Phish-e.Hjgl


· 安天：信誉可疑，疑似僵尸远控
智甲：扫描安全。

双击运行后，拦截《Monitors.sys》报灰色软件；这个

应该不止灰色软件那么简单：



然后内存防护显示进程svchost报Trojan/Win32.SwimSnake（银狐）

UNknownOoo

scottxzt 发表于 2026-6-4 11:37
运行后。没有发现恶意行为，提交微软

检查下测试环境

隔山打空气

请问这个样本注入shellcode到svchost的方式是什么（

wwwab

隔山打空气 发表于 2026-6-4 14:41
请问这个样本注入shellcode到svchost的方式是什么（

https://www.virustotal.com/gui/f ... 2f42ce7a14e6c40cc26  这个驱动：
Code insights
This sample is a malicious Windows kernel-mode driver designed for privilege escalation and stealthy process injection. It performs Direct Kernel Object Manipulation (DKOM) by traversing active processes to locate a target process (specifically searching for 'svchost.exe'), and replaces its primary token with the System token ('PsInitialSystemProcess') to elevate its privileges. Furthermore, the driver reads an injection payload from 'config.dat', attaches to the target process using 'KeStackAttachProcess', allocates virtual memory via 'ZwAllocateVirtualMemory', copies the payload using 'MmCopyVirtualMemory' or MDL mapping, and executes it by dynamically resolving and invoking 'RtlCreateUserThread' or 'ZwCreateThreadEx'.