疑似供应链攻击延续？实机中招后被拦截

川建国代理人

本人电脑上午实机开机后一段时间卡巴给了个拦截弹窗

1. 事件: 访问网站被阻止
   
2. 用户: LAPTOP-0UBEB07R\Lenovo
   
3. 用户类型: 发起者
   
4. 应用程序名称: rundll32.exe
   
5. 应用程序路径: C:\Windows\System32
   
6. 组件: 安全浏览
   
7. 结果描述: 已阻止
   
8. 类型: 恶意链接
   
9. 名称: http://ofsd.fh67k.com/
   
10. 精确度: 确切
    
11. 威胁级别: 高
    
12. 对象类型: 网页
    
13. 对象路径: http://ofsd.fh67k.com
    
14. 原因: 数据库
    
15. 数据库发布日期: 昨天，2026/6/30 下午3:32:00

复制代码

查询相关报道供应链攻击
与其中恶意C2：

1. fh67k.com

复制代码

相吻合
且按 Win + R 键，输入 %appdata% 后在打开的文件夹里看到了叫 Office 的文件夹，里面有叫 TeamAddin 的子文件夹，查看时已是空文件夹。

（另：本人office是正版软件且正规渠道永久激活，是当年买电脑送的；控制面板程序中并没有office助手/officeAi助手相关内容）
本人还注意到在C:\Users\Lenovo\AppData\Roaming路径中有一名为OfficeAddinZhix的文件夹，其中有四个动态链接库文件，修改日期是两年前
下载：OfficeAddinZhix提取
在相同时间节点还注意到计算机静默安装了名为AiPPT的程序，出现修改时间在报毒时间附近的内容
下载：AiPPT提取

二者有关联吗？

scottxzt

我的电脑中按照你的路径没有这个DFFICE文档，你贴出的OFFICE文件夹四个DLL，目前只有一家报，等待一下其它杀软公司的回报
二个文件夹有没有关联不得而知，不是你自己装的尽快删除，卡巴或者木马专杀全盘扫描

ahhh

这个是不小心被国产下崽器装上的吧

川建国代理人

ahhh 发表于 2026-7-1 13:25
这个是不小心被国产下崽器装上的吧

最近没有使用下载器或安装新软件，昨天倒是卸载了两个网盘，除此之外近几个月只是使用edge、office和微信
问题不在于AIPPT本身，网上也能查到本身是有数签的办公软件
但不知道安装进程是谁启动的，有没有被白+黑
如果按报道所说，最终是打算给我浏览器安插件，但从C2服务器的下载被阻断了

pal家族

感觉是aippt干的好事。里面有东西被换了？

川建国代理人

pal家族 发表于 2026-7-1 17:24
感觉是aippt干的好事。里面有东西被换了？

卡巴全盘扫了二百多万项内容，加上上午访问监测，没查到任何恶意软件实体，好像那网址是我输进浏览器似的
这工作日这么忙根本没功夫仔细溯源，现在只是把表面上可疑修改的内容都加密打压缩包里了

pal家族

川建国代理人 发表于 2026-7-1 18:23
卡巴全盘扫了二百多万项内容，加上上午访问监测，没查到任何恶意软件实体，好像那网址是我输进浏览器似的 ...

我现在喜欢上了火绒的专杀。心里不放心就用它扫描一次哈哈

117054487

太深奥的不懂，但是把两个压缩包打包手动上传bd沙盒，bd沙盒几乎对所有文件的单独判定都是
Clean file (found in our cleanset) 而不是 Unknown

心醉咖啡

360扫描miss

ANY.LNK

报毒的那个rundll32进程有内存dump吗？