wps安装目录下的PDF文件被MD报毒！

gtc

另一张图是在线引擎扫描结果，求鉴定。



https://ttttt.link/f/6a3ba05a2cb03

莒县小哥

https://www.virustotal.com/gui/f ... c4b2828f9/detection

gtc

莒县小哥 发表于 2026-6-24 17:49
https://www.virustotal.com/gui/file/8ae7c82a3e4f742777e590b25a1c563d19bd9bcba2a387d004aae72c4b2828f9 ...

七家报毒，也不少了，安全起见，我直接删除了。

ahhh

https://s.threatbook.com/report/ ... 7d004aae72c4b2828f9

川建国代理人

不宜只从静态杀软报毒判断是否有恶意行为，请问你是在官方渠道下载并安装的吗？个人判断可能是批量IOCs拉黑的¿
（作者 balalala~）、（生成工具 WPS Office），以及创建时间{（2024-03-08）与修改时间（2025-07-17）}可能是Seqrite在报告中披露的该组织专属诱饵模板特征。
此外，片段中出现

1. LNUHNF+SimSun

复制代码

LNUHNF+ 是PDF嵌入字体时的随机子集前缀，如果这个特定的前缀或字体编码方式（Identity-H）与该组织历史使用的恶意文档生成工具链（如特定的Python脚本或破解版WPS）特征一致，就会被YARA规则直接命中。
vt社区

1. Title:Operation Dragon Weave: Uncovering a China-Linked Campaign Targeting Czech Republic and Taiwan Using Azure Cloud C2
   
2. 📅Date:2026-05-29
   
3. 🔗References:
   
4. https://www.seqrite.com/blog/operation-dragon-weave-uncovering-a-china-linked-campaign-targeting-czech-republic-and-taiwan-using-azure-cloud-c2/
   
5. 🔖MISP Galaxies:
   
6. producer="Seqrite"
   
7. target-information="Czech Republic"
   
8. target-information="Taiwan"
   
9. mitre-attack-pattern=['T1204.002', 'T1497.001', 'T1566.001', 'T1082', 'T1055', 'T1016', 'T1090', 'T1083', 'T1057', 'T1041', 'T1059.001', 'T1027', 'T1573', 'T1059.005', 'T1574.002', 'T1105', 'T1102.001', 'T1620']

复制代码

seqrite也指出其可能作为诱饵出现在某次攻击活动中
既然文件能正常打开，也就不存在Steganography一说了，不太可能嵌入恶意载荷，且内容也没附挂钓鱼链接
建议删除，但有无高手判断下更高级的混淆或动态加载技术？

心醉咖啡

360扫描miss

gtc

wps是前年买hp笔记本电脑自带的，到现在在线升级了四个版本，最新版本就是我截图的那个，今天是在测试一个软件的重复文件扫描过程中被MD报毒的，当时没仔细看就放过了，后来看历史记录，发现是这个，于是在线扫了扫，怀疑被感染，但这个文件在今天以前MD均未报过，原因可能是我wps用的比较少，我大多数都是用的微软office。
以上回复@川建国代{过}{滤}理人

风屿法师

川建国代{过}{滤}理人 发表于 2026-6-24 18:40
不宜只从静态杀软报毒判断是否有恶意行为，请问你是在官方渠道下载并安装的吗？个人判断可能是批量IOCs拉黑 ...

我确信我的是官方渠道下载，上传VirusTotal后显示是同一份文件（特征码相同），且报毒的厂商又多了一个。


目前已经提交给微软，各位过几天提醒我去查看一下。目前荣耀电脑管家内置奇安信组件扫描OK，上传国家计算机病毒协同分析平台扫描也全部OK（报告：https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=a5ce0cb0c07b1566663253fa7c8c3042）。

卡巴斯基在线分析OK（报告：https://opentip.kaspersky.com/8AE7C82A3E4F742777E590B25A1C563D19BD9BCBA2A387D004AAE72C4B2828F9/results?tab=upload）；大蜘蛛在线扫描也OK

gtc

风屿法师 发表于 2026-6-24 21:47
我确信我的是官方渠道下载，上传VirusTotal后显示是同一份文件（特征码相同），且报毒的厂商又多了一个。 ...

看来有官人

风屿法师

gtc 发表于 2026-6-24 22:03
看来有官人

啥，我没懂