樱桃播放器（7.6更新变成香蕉播放器）

夜光星

Mr_Huang 发表于 2026-6-30 19:28
怀疑dll文件有问题，不是exe

opentip已红：https://opentip.kaspersky.com/1E ... /results?tab=uploa ...

KSN上dll也没红

Mr_Huang

夜光星 发表于 2026-6-30 19:35
KSN上dll也没红

我这里红了，刚上传，估计一会就变了

kkdy

感觉像白加黑，用exe白文件去加载黑dll。天穹沙箱两个都报安全，但攻击矩阵的分析有些可疑。
而且dll的沙箱分析显示这玩意会要求关闭360再运行。（完整报告的分享链接不知道在哪）
高度建议火绒安全工程师重新分析

Mr_Huang

kkdy 发表于 2026-6-30 19:40
感觉像白加黑，用exe白文件去加载黑dll。天穹沙箱两个都报安全，但攻击矩阵的分析有些可疑。
而且这玩意会 ...

我也觉得像，但火绒2次分析都说没问题，懵了

kkdy

补充奇安信沙箱对dll的分析结果
**文件信息**
- MD5：07f31ab16806485b28c6ff342a0e493e
- 大小：33849344 字节
- 类型：PE32 Executable for MS Windows (DLL)

**文件信誉**
- 文件信誉结果显示，该文件的恶意程度为未知。

**行为分析**
- 该文件表现出多种危险行为和敏感行为：

- 危险行为：
  - UAC绕过：试图修改UAC提示行为，以规避用户权限提升时的警告。
  - 安全设置禁用：禁用Windows安全特性，降低系统防御能力。
- 敏感行为：
  - 创建备用数据流(ADS)：在文件系统中创建Alternate Data Stream，常用于隐藏数据或持久化驻留。
  - 反虚拟化检测：可能通过获取CPU数量来检测是否处于虚拟机环境中，以逃避动态分析。
  - 非常规语言标识：二进制资源中使用了非常规语言标识，可能存在代码混淆或伪装意图。

**进程信息**
- 样本通过rundll32.exe执行，并启动了lsasa.exe、tasnkd.exe等可疑进程。
- lsasa.exe进程表现出分配可读可写可执行内存空间的行为，疑似自身解压或准备加载恶意代码；同时检查网络适配器以检测虚拟环境，并与pmnka.com域名及IP 103.140.239.208建立网络连接。
- tasnkd.exe进程同样表现出反虚拟化检测行为，并释放了多个具有随机命名的文件（如cdc8d01a6ab34127_pid.ars等），显示出明显的恶意释放和持久化特征。

**威胁情报**
- 关联的MD5 `07f31ab16806485b28c6ff342a0e493e` 在威胁情报中的研判意见为普通。
- 关联的MD5 `202cb962ac59075b964b07152d234b70` 在威胁情报中的研判意见为安全。
- 关联的域名 `pmnka.com` 被标记为恶意，研判意见为恶意，且标签显示其与C&C（命令与控制）服务器有关联，属于远控木马类别。
- 关联的IP地址 `111.180.138.108:443` 和 `111.180.138.108:80` 研判意见为可疑，涉及家族“Red-Blue Confrontation-2025”，类型为远控木马。

**防病毒扫描**
- 引擎qowl未检出结果。

**结论综述**
- 沙箱综合判定该文件是恶意的。
- 判定理由如下：虽然文件本身的信誉评分未知，但其在沙箱内的行为表现出极高的攻击性。首先，它采取了UAC绕过和禁用Windows安全特性等危险手段以降低系统防护；其次，通过创建ADS、反虚拟化检测等技术对抗分析并尝试隐蔽自身。更重要的是，样本执行过程中启动了异常进程（如lsasa.exe, tasnkd.exe），建立了与已知恶意域名`pmnka.com`（被标记为C&C服务器）及可疑IP的网络连接，并释放了可疑文件。结合威胁情报中对该域名及其所属远控木马家族的确认，沙箱认定该文件具备远程控制木马的典型特征，因此判定为恶意。

御坂14857号

下载链接里的文件有变更？我17点多下载的压缩包里面的dll和楼上几位的dll不一样

kkdy

御坂14857号 发表于 2026-6-30 19:47
下载链接里的文件有变更？我17点多下载的压缩包里面的dll和楼上几位的dll不一样

？不能吧

Mr_Huang

御坂14857号 发表于 2026-6-30 19:47
下载链接里的文件有变更？我17点多下载的压缩包里面的dll和楼上几位的dll不一样

之前贴的是15天前的链接，现在改成了最新链接，这个更新还挺频繁的

kkdy

Mr_Huang 发表于 2026-6-30 19:49
之前贴的是15天前的链接，现在改成了最新链接，这个更新还挺频繁的

难怪，我说怎么图标都不一样。

117054487

https://wwbam.lanzoue.com/im0AA3tqqzsd BD沙箱报告