本帖最后由 z279327 于 2026-6-26 02:11 编辑
大模型分析
分析完成。结论很明确:这个 Motrix.msi 是恶意文件——一个被二次打包的木马化 Motrix 安装包,会静默安装并自启动「网络人/LookMyPC」远程控制工具(后门)。
我全程只做静态分析,没有运行这个安装包。
关键证据
1. 捆绑并隐藏远控程序
MSI 中含 LookMyPC2.exe(645 KB)和 NNScreen.dll(网络人远控的屏幕捕获组件)、config.dat(预置配置)。
它们被释放到 C:\Users\Public\Documents(公共文档目录),而不是程序安装目录——典型的藏匿手法,和正常软件无关。
2. 静默执行(自定义动作)
CustomAction 表里有一条:LookMyPC2.exe,类型 3282(= 类型18 EXE + 延迟执行 + 异步 + 忽略返回值)。
它被插入 InstallExecuteSequence 序列号 6401(紧跟在 PublishProduct 之后),安装过程中悄悄拉起远控进程,且忽略错误、不提示用户。
3. 注册表自启动持久化(最硬的恶意指标)
在 HKLM\Software\Microsoft\Windows\CurrentVersion\Run 写入键值:名称伪装成 Update,数据为 [#LookMyPC2.exe]。
即每次开机/登录都会以「Update」的名义自动启动这个远控程序——这是后门长期驻留的标准做法。
4. 伪装成正版
包内确实放了真正的 Motrix 负载(Motrix.exe 1.8.19、aria2c.exe、Electron 文件)用于以假乱真。
但整体特征是伪造:未签名;ProductVersion = 1.0.0、Manufacturer = Motrix;用 Advanced Installer 21.0.1 重新打包。官方 Motrix 是开源项目,Windows 版发布的是带签名的 NSIS .exe,不会是这种无签名 MSI。
文件指纹
SHA-256:7560867583F5AAC374E6050679555BB7E3AED14C6918F2F499F21921F0DAB4B1
数字签名:无(NotSigned)
建议处置
不要运行/双击 这个 MSI。
如果已经安装过,请检查并清理:
注册表 HKLM\...\CurrentVersion\Run 下名为 Update 的项;
C:\Users\Public\Documents\ 下的 LookMyPC2.exe、NNScreen.dll、config.dat;
结束名为 LookMyPC2.exe 的进程。
用本机 EDR/杀软对上面的 SHA-256 做一次核对与全盘查杀。
需要正版 Motrix 请从官方 GitHub(agalwood/Motrix)下载签名版安装包。
放在你们 Bulwark 防御产品的视角看,这正是应当被「硬指标」直接拦截的样本:Run 键持久化 + 静默拉起远控进程属于实打实的危险行为,而非仅靠「未签名/可疑路径」这类软信号——足以触发拦截或弹窗。
|
发表于 2026-6-26 00:34:10
