fakeapp wps1X

显示全部楼层 · 发表于 2026-6-7 16:26:13

腾讯管家 miss

显示全部楼层 · 发表于 2026-6-7 19:30:58

本帖最后由 scottxzt 于 2026-6-8 11:42 编辑

ASR规则拦截

关闭ASR，双击

Trojan:Win32/Sabsik.EN.A!ml
file: F:\wpsosxcsetuppc\wpsosxcsetuppc\wpsosxcsetuppc.ex

显示全部楼层 · 发表于 2026-6-7 19:41:28

卡巴双击 miss
冰盾拦截

显示全部楼层 · 发表于 2026-6-7 22:35:45

AyachiNeneFans 发表于 2026-6-7 19:41
卡巴双击 miss
冰盾拦截

冰盾这个，理论上你分辨不出是否有问题的。
我开个加速器他都拦截持久化。

显示全部楼层 · 发表于 2026-6-7 23:11:03

本帖最后由 AyachiNeneFans 于 2026-6-7 23:13 编辑

帝辛发表于 2026-6-7 22:35
冰盾这个，理论上你分辨不出是否有问题的。
我开个加速器他都拦截持久化。

理论上确实分辨不出。
不过对于这个样本，算是半成功吧。
一是第一次的DLL侧加载的部分对应图中的tg，不点拦截或者允许他会卡在那里。
二是第二次的持久化中，数字签名部分有问题。
wps的安装包不会有tg和魔法，所以冰盾算是提供了足够的信息让用户判断出这两次行为是有问题的。

显示全部楼层 · 发表于 2026-6-8 08:37:56

用户类型: 系统用户
组件: 病毒扫描
结果: 已删除
结果描述: 已删除
类型: 木马
名称: UDS:Trojan.Win64.Agentb.a
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: KGPK4_BaseX64.dll
对象路径: C:\Users\Administrator\Downloads\wpsosxcsetuppc\Republic_nkayb
对象的 MD5: 178399BD603138C6A34506FC406A12B3

显示全部楼层 · 发表于 2026-6-8 10:51:20

AyachiNeneFans 发表于 2026-6-7 23:11
理论上确实分辨不出。
不过对于这个样本，算是半成功吧。
一是第一次的DLL侧加载的部分对应图中的tg， ...

信息还是太少了。正常人看到两个数字签名就放行了。

显示全部楼层 · 发表于 2026-6-8 11:41:40

正常就微软的一个SmartSreen ,和首次看到时候阻止，以及ASR的减小攻击面，和数字签名，能过的FAKEAPP已经很少了。

显示全部楼层 · 发表于 2026-6-8 12:19:55

帝辛发表于 2026-6-7 22:35
冰盾这个，理论上你分辨不出是否有问题的。
我开个加速器他都拦截持久化。

虚拟机装个卡巴斯基。只要卡巴斯基KSN显示受信任（卡巴斯基安全网络）就直接把软件扔冰盾白名单。ksn未知的只要有往临时目录扔启动项，注入系统进程等危险动作就扔沙箱和杀毒软件厂商分析

显示全部楼层 · 发表于 2026-6-8 13:03:58

卡巴现在可以PDM杀了

事件: 检测到恶意对象
应用程序: WPS Office Setup
用户: DESKTOP-CMD2NJ6\Test
用户类型: 发起者
组件: 系统监控
结果描述: 检测到
类型: 木马
名称: PDM:Trojan.Win32.Generic
威胁级别: 高
对象类型: 进程
对象路径: C:\Users\Test\Desktop
对象名称: wpsosxcsetuppc.exe
原因: 行为分析
数据库发布日期: 今天，2026/6/8 12:12:00
MD5: D309580D346B79F62E744D4CB6B5EA2E

[病毒样本] fakeapp wps1X

本帖子中包含更多资源

本帖子中包含更多资源

评分