【开放测试】卡饭病毒样本包 20260625 第288期

wwwab

下载1: https://pan.huang1111.cn/s/XqODofl 密码: 18360615
下载2: https://qfile.qq.com/q/P9Uhxb1JIu
下载3: https://c.wss.ink/f/k8eiqozdc85 密码: 18360615 (24h)

压缩包 SHA-256: e3b94daa0c2b974dd6b3a0cb5e06cb884946f8784268be1aa418b72e16c4e14b

样本数量: 52 (单位: 个)

样本收集者，在此感谢:
wwwab: 40 (单位: 个)
UNknownOoo: 12 (单位: 个)

当前测试阶段：开放测试

注意事项

1. 占楼后2小时内未能给出测试结果的，视为灌水，按照论坛规定处理。
2. 如有其他违规行为，按照论坛相关规定处理。

温馨提示与免责声明

样本仅供学习、研究、测试用途，测试前您应知晓样本可能具有威胁您的计算机安全的风险，下载即代表您应自行承担相应带来的所有风险。

z279327

作废

ahhh

eis    47x



双击后杀了2个





腾讯管家  39x   

就剩下dllhijack_4文件夹下dll未删除

z279327

not360剩

心醉咖啡

360

莒县小哥

二连了

莒县小哥

卡巴杀46枚

Myrenaser

EES解压、扫描、自动+手动ELG
这个云感觉莫名其妙，手动ELG的结果能返回客户端......

1. <font size="2"><font size="2">2026/6/26 8:54:00;文件系统实时防护;文件;C:\Users\Administrator\Desktop\新建文件夹\ITOCHU ORDER 560384.js;ESET LiveGuard 特洛伊木马;已通过删除清除;NT AUTHORITY\SYSTEM;尝试通过应用程序访问文件时发生事件: C:\Windows\System32\SearchProtocolHost.exe (8011942A8887793FD91EDAB7B8A83D11BC067756).;79B21CD8BAC5C21161991DB0299C8A851FEE0272;2026/6/26 8:16:41;S-1-5-18;;8HoEZissFka6lo0SfAvXdw==</font></font>

复制代码

自动ELG均报毒：官方安装包01.exe - ESET LiveGuard - 高级行为报告
getusername.exe - ESET LiveGuard - 高级行为报告
其中getusername.exe返回客户端显示可安全使用

手动ELG miss1：ITOCHU ORDER 560384.js - ESET LiveGuard - 高级行为报告
PO250000Corbela_2.js - ESET LiveGuard - 高级行为报告

剩余 x2
------------------------------------------------复测------------------------------------------------
getusername.exe：

1. <font size="2">2026/6/26 19:48:52;文件系统实时防护;文件;C:\Users\Administrator\Desktop\新建文件夹\getusername.exe;Win64/TrojanDownloader.Agent.DGL 特洛伊木马 的变量;已通过删除清除;PC-20260604SAFK\Administrator;尝试通过应用程序访问文件时发生事件: C:\Windows\explorer.exe (D1B8B4C25A9F60BACFCB3D9609A90A1AA984F3D9).;10849F28697919CF52AF63ACA3C13813F229DAA7;2026/6/26 8:16:52;S-1-5-21-2256237997-1111233426-977336388-500;;Bzmf4uH7qU/FlD+aaAQ4QA==</font>

复制代码

PO250000Corbela_2.js扫描：

1. <font size="2">2026/6/27 0:01:44;文件系统实时防护;文件;C:\Users\Administrator\AppData\Local\Temp\7zE084CC070\PO250000Corbela_2.js;JS/Agent.UVB 特洛伊木马;已通过删除清除;PC-20260604SAFK\Administrator;在通过应用程序创建的新文件上发生了事件: C:\Program Files\7-Zip\7zFM.exe (6E99E08EFD0D9C55C600A0DBA386EDB561DE800F).;70B07EBCED135C6DA398CEA472AE8823F9C2751F;2026/6/27 0:01:40;S-1-5-21-2256237997-1111233426-977336388-500;;xusVrB8r3k+6uGZGPFTscg==</font>

复制代码

EES目前全部清除

飞翔的蒲公英

下载。由于有5个白加黑的文件夹样本，故不单纯按剩余文件数来计算，根据实际被隔离的文件数量来计算处理数量。


有一些不同文件名但实际是同一文件的病毒样本：
doc2026BIK1910486.js 和 payload.js 同文件不同名

Uvozni dokumenti 2608-001.js 和 Uvozni dokumenti 2608-001_1.js 同文件不同名

Quote 240145.vbs 和 Cotización 240145.vbs 同文件不同名

ProformaInvoice-5628.vbs 和 Whatsapp IMG Factura.vbs 同文件不同名

四个文件夹里的谷歌exe也都是同一文件但只是黑dll的启动器不是病毒，这个不管。


火绒6.0（开高启发，6月26日上午点击病毒库更新，病毒库6月25日的）：
扫描报19个威胁，实际隔离19个样本（更正，无同一样本多次报毒），静态扫描查杀19个。
日志：

风险路径：C:\Users\CeShi\Desktop\infected2026062501\zh-cn-中文语言包.exe, 病毒名：HEUR:TrojanDownloader/Small.c, 病毒ID：027e71023bb8039a, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\点击安装简体中文语言包v.exe, 病毒名：TrojanDropper/Agent.apr, 病毒ID：35c7a261d162b46f, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\点击安装中文语言包.exe, 病毒名：HVM:Backdoor/Lotok.cr, 病毒ID：845538d73fe37a54, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\点击此处安装简体中文语言包.exe, 病毒名：TrojanDownloader/W64.Maloader.d, 病毒ID：aa7fcb3a1b3a9324, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\点击切换中文语言包.exe, 病毒名：Backdoor/Lotok.ql, 病毒ID：0295297435d5ca7a, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\官方安装包01.exe, 病毒名：Trojan/FakeApp.adu, 病毒ID：604997102e313159, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\2026.06.25裁员名单及补偿方案WPS.exe, 病毒名：HVM:Backdoor/Lotok.dk, 病毒ID：4233f0eb902a96d1, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\2026.06.25裁员名单及补偿方案WPS11.exe, 病毒名：HVM:Backdoor/Lotok.dk, 病毒ID：4233f0eb902a96d1, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\Doc 24.06.26.js, 病毒名：SVM:TrojanDownloader/JS.MalBehav.gen!W, 病毒ID：57c5def56bdeff90, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\DouiBao_link_windos_x64 5.5.0.exe >> [NSIS].nsi, 病毒名：Trojan/FakeApp.ahy, 病毒ID：c6e2748b4c3cc120, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\DoulBao_aderm_windos_x64.2.0.1.exe >> [NSIS].nsi, 病毒名：Trojan/FakeApp.ahy, 病毒ID：c6e2748b4c3cc120, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\ITOCHU ORDER 560384.js, 病毒名：TrojanDropper/JS.Agent.cx, 病毒ID：1b5bbaaa169bd7ea, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\MCPO-0178-0179.exe, 病毒名：HVM:VirTool/Obfuscator.gen!B, 病毒ID：2ca1ace5009f2db6, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\Order.JS, 病毒名：TrojanDropper/JS.Agent.e!crit, 病毒ID：f34eb40f9dc337bc, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\pdt64803-nh6393693-ladt68399.hta, 病毒名：HEUR:Trojan/JS.Obfuscator.c, 病毒ID：f31231a98ac23e68, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\pP3qvN5G.exe, 病毒名：Backdoor/Python.CobaltStrike.c, 病毒ID：02faa3644e0194ce, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\Rfq.js, 病毒名：HEUR:Trojan/JS.Obfuscator.c, 病毒ID：f31231a98ac23e68, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\RFQDMBU0083 - SPECIFICATION.js, 病毒名：TrojanDropper/JS.Agent.cx, 病毒ID：1b5bbaaa169bd7ea, 处理结果：已处理，删除文件

风险路径：C:\Users\CeShi\Desktop\infected2026062501\Tsni pastK.exe, 病毒名：Trojan/FakeApp.akk, 病毒ID：a0f26905dd6ac06e, 处理结果：已处理，删除文件

双击剩余的，分为恶意行为拦截和纯规则拦截：
· 恶意行为拦截的：
1、该选中样本拦截ps，后续无运行。


2、Snipaste安装成功，后频繁拦截恶意网址：




3、该选中样本拦截ps，后续无运行。


4、该选中样本安装成功，内存防护有个拦截。


5、该选中样本内存防护拦截PowerShell动作，后续无运行。


6、该选中样本拦截ps，后续无运行。


7、该选中样本：


8、该选中样本：


9、该选中样本：


· 其余纯规则拦截的，均按照默认处置方式进程处置：
1、阻止后后续无运行。

2、

3、


其余的双击没动静/没拦截，5个文件夹白加黑静态扫描和双击miss。

scottxzt

AVAST ONE
扫描加监控32枚
MD监控加扫描33枚，剩余19枚