白加黑 1x

pal家族

ANY.LNK 发表于 2026-6-22 20:26
看着像银狐的一个变种，可能得放到Program files目录下

没错。还是会自退但是启动别的东西。
事件: 对象已清除
用户: 小之之的微星\72428
用户类型: 发起者
组件: 病毒扫描
结果: 已清除
结果描述: 已清除
类型: 木马
名称: MEM:Trojan.Win32.SEPEH.gen
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: colorcpl.exe
对象路径: pmem:\C:\Windows\SysWOW64

Myrenaser

pal家族 发表于 2026-6-22 22:36
没错。还是会自退但是启动别的东西。
事件: 对象已清除
用户: 小之之的微星\72428

我没见过MEM，这个是？

DisaPDB

pal家族 发表于 2026-6-22 22:36
没错。还是会自退但是启动别的东西。
事件: 对象已清除
用户: 小之之的微星\72428

这是注入
和我之前发的分析属于几乎同源同手法的样本。
【杂谈】如何使用IDA+Agent自动化分析样本——我的一次实战记录_病毒样本 分享&分析区_安全区 卡饭论坛 - 互助分享 - 大气谦和!

pal家族

Myrenaser 发表于 2026-6-22 22:53
我没见过MEM，这个是？

就是内存报毒呀 卡巴一直有这个报法、
你看路径写的是pmem:\

pal家族

DisaPDB 发表于 2026-6-22 22:57
这是注入
和我之前发的分析属于几乎同源同手法的样本。

嗯确实注入了

ahhh

腾讯管家  miss

ANY.LNK

pal家族 发表于 2026-6-22 22:36
没错。还是会自退但是启动别的东西。
事件: 对象已清除
用户: 小之之的微星\72428

进程注入，完成注入后进程退出，剩余载荷完全运行在傀儡进程colorcpl.exe内

tony099

pal家族 发表于 2026-6-22 22:59
嗯确实注入了

今天早上测试 卡巴UDS拉黑了

事件: 对象已删除
用户: WIN-9IT6S98AQML\35987
用户类型: 活动用户
应用程序名称: Bandizip.exe
应用程序路径: C:\Program Files\Bandizip
组件: 文件反病毒
结果描述: 已删除
类型: 木马
名称: UDS:Trojan.Win64.DllHijack.a
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: vtksqlite-9.6.dll
对象路径: C:\Users\35987\Downloads\MCWinMailAll
对象的 MD5: C3D6B73E54FF4EFD29651E46F751FE5B

pal家族

tony099 发表于 2026-6-23 09:40
今天早上测试 卡巴UDS拉黑了

事件: 对象已删除

嗯，昨晚我上报后就处理了。应该是12点前就可以了(^_^;)

tony099

pal家族 发表于 2026-6-23 13:22
嗯，昨晚我上报后就处理了。应该是12点前就可以了(^_^;)

不过我个人 弱弱的感觉 这个木马还是有点东西 白加黑 看不太出来