收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 豆包电脑版，部分用户扫码登录过程，火绒报告 Trojan/HT ...
返回列表 发新帖
查看: 1429|回复: 1
收起左侧

[其他相关] 豆包电脑版，部分用户扫码登录过程，火绒报告 Trojan/HTML.Redirector.bz

[复制链接]
3306-1
发表于 2026-7-3 07:31:32 | 显示全部楼层 |阅读模式
本帖最后由 3306-1 于 2026-8-13 00:43 编辑

来源：https://www.52pojie.cn/thread-2099716-1-1.html
发现：汉堡、zhaoguosen、jiemos
抄送：@火绒工程师



从下方结果综合分析，扫码过程并不会重定向到非豆包网址
也不像有供应链攻击，难道是浏览器中的插件存在劫持行为

或者是引用了类５１统计代码混淆脚本
仅扫码过程会被触发，导致重定向报毒

测试方法：下载，安装，扫码，登录完毕，查看过程是否报毒

发现者提供（星号代表原图已失效，根据原帖后续回答反推猜测而来）
  1. 病毒名称：Trojan/HTML.Redirector.bz
  2. 病毒ID：D5D4528772A25933
  3. 病毒URL：http://www[.]zuijiastore[.]com
  4. 操作结果：已阻止

  6. 进程ID：***
  7. 操作进程：x:\***\Doubao.exe

  9. 查杀过豆包路径，没有报毒
复制代码
  1. 病毒名称：Trojan/HTML.Redirector.bz
  2. 病毒ID：99BCC79AB4BB5413
  3. 病毒URL：http://czjx8[.]com
  4. 操作结果：已阻止

  6. 进程ID：23052
  7. 操作进程：x:\Doubao\app\Doubao.exe
复制代码
  1. 病毒名称：Trojan/HTML.Redirector.bz
  2. 病毒ID：99BCC79AB4BB5413
  3. 病毒URL：http://vip-eu159[.]qqupload[.]com/2Mtcg?download_token=da2730fbf92c0506433d8fbaec4f4a887dc6527bfc279c19340a26c333030431
  4. 操作结果：已阻止

  6. 进程ID：36008
  7. 操作进程：x:\Thunder\Program\resources\bin\SDK\DownloadSDKServer.exe
  8. 操作进程命令行："x:\Thunder\Program\resources\bin\SDK\DownloadSDKServer.exe" BDAF7A63-568C-43ab-9406-D145CF03B08C:29932
复制代码

外壳入口
域　名　zuijiastore[.]com
注册商　Dynadot Inc
注册人
邮　箱
注册日　2023-07-15 02:27:46 UTC+8
过期日　2027-07-15 02:27:46 UTC+8
更新日　2026-07-15 11:19:10 UTC+8
IANA_ID　472
状　态　客户端禁止转移
DNS　　ns1[.]parklogic[.]com
　　　　ns2[.]parklogic[.]com
DNSSEC　未配置

外壳入口
域　名　czjx8[.]com
注册商　GoDaddy.com, LLC
注册人
邮　箱
注册日　2018-09-11 20:43:53 UTC+8
过期日　2026-09-11 20:43:53 UTC+8
更新日　2025-09-18 21:24:25 UTC+8
IANA_ID　146
状　态　客户端禁止删除
　　　　客户端禁止续费
　　　　客户端禁止转移
　　　　客户端禁止更新
DNS　　ns1[.]parklogic[.]com
　　　　ns2[.]parklogic[.]com
DNSSEC　未配置

外壳入口
域　名　qqupload[.]com
注册商　DropCatch.com 368 LLC
注册人
邮　箱
省／州　Panama
地　区　巴拿马（PA）
注册日　2025-10-25 02:26:00 UTC+8
过期日　2026-10-25 02:26:00 UTC+8
更新日　2025-10-29 14:06:21 UTC+8
IANA_ID　1779
状　态　客户端禁止转移
DNS　　ns1[.]parklogic[.]com
　　　　ns2[.]parklogic[.]com
DNSSEC        未配置

信息收集
域　名　parklogic[.]com
注册商　Dynadot Inc
注册人
邮　箱
注册日　2007-03-01 06:35:52 UTC+8
过期日　2031-03-01 06:35:52 UTC+8
更新日　2025-12-08 09:16:43 UTC+8
IANA_ID　472
状　态　客户端禁止转移
DNS　　ns1[.]parklogic[.]com
　　　　ns2[.]parklogic[.]com
DNSSEC　未配置

火绒扫描（我自己的本地扫描结果）
6.0.11.1 版本
08-12 20:18 病毒库

测试日志与发现者提供相同，此处不赘述

相关过程
内置脚本
  1. 检测待收集的内容并提交，等响应
  2. 检查响应内容，如果是网址就跳转
复制代码
信息收集
  1. Ｐｏｓｔhttps://router.parklogic.com

  3. {
  4.   "parameters": {
  5.     "timezoneGeo": "Asia/Shanghai",
  6.     "country": "CN",
  7.     "tenant": "seth3",
  8.     "path": "/",
  9.     "uuid": "76596d73a6b54d2a9943e18d20d85f5d",
  10.     "ipOrig": "0.0.0.0",
  11.     "continentName": "Asia",
  12.     "countryName": "China",
  13.     "domainApex": "zuijiastore[.]com",
  14.     "domainFull": "zuijiastore[.]com",
  15.     "protocol": "https",
  16.     "continent": "AS",
  17.     "adBlockingDetected": true,
  18.     "timezoneBrowser": "Asia/Shanghai",
  19.     "webdriver": false,
  20.     "gpu": null
  21.   }
  22. }

  24. {
  25.   "parameters": {
  26.     "ipOrig": "0.0.0.0",
  27.     "protocol": "https",
  28.     "country": "CN",
  29.     "timezoneGeo": "Asia/Shanghai",
  30.     "uuid": "6126de55ec7d428d9d81f3ee6fe9eaa5",
  31.     "tenant": "seth",
  32.     "path": "/",
  33.     "continent": "AS",
  34.     "continentName": "Asia",
  35.     "countryName": "China",
  36.     "domainApex": "czjx8[.]com",
  37.     "domainFull": "czjx8[.]com",
  38.     "adBlockingDetected": true,
  39.     "timezoneBrowser": "Asia/Shanghai",
  40.     "webdriver": false,
  41.     "gpu": null
  42.   }
  43. }

  45. {
  46.   "parameters": {
  47.     "tenant": "seth3",
  48.     "path": "/2Mtcg",
  49.     "protocol": "https",
  50.     "continentName": "Asia",
  51.     "countryName": "China",
  52.     "domainApex": "qqupload[.]com",
  53.     "domainFull": "vip-eu159.qqupload[.]com",
  54.     "ipOrig": "0.0.0.0",
  55.     "continent": "AS",
  56.     "timezoneGeo": "Asia/Shanghai",
  57.     "uuid": "f1aaa74cca2d47f4bd110439d76aab46",
  58.     "country": "CN",
  59.     "adBlockingDetected": true,
  60.     "timezoneBrowser": "Asia/Shanghai",
  61.     "webdriver": false,
  62.     "gpu": null
  63.   }
  64. }
复制代码
跟踪防护
  1. https://developer.mozilla.org/zh-CN/docs/Web/Privacy/Guides/Firefox_tracking_protection
复制代码
广告拦截
  1. uBlock Origin 阻止了下列页面加载：

  3. https://immanitys.com/.....

  5. 因为下列过滤规则：

  7. ||immanitys.com^$document
  8. 被包含于： uBlock filters – Badware risks

  10. ! Title: uBlock filters – Badware risks
  11. ! Expires: 5 days
  12. ! Last modified: Wed, 12 Aug 2026 02:50:07 +0000
  13. ! Diff-Path: ../patches/2026.8.12.817.patch#ublock-badware
  14. ! Diff-Expires: 317 minutes
  15. ! License: https://github.com/uBlockOrigin/uAssets/blob/master/LICENSE
  16. ! *** uAssets:filters/badware.txt ***
  17. ! Using request of type `document` will cause the whole site to be blocked through
  18. ! strict blocking, yet the site will render properly if a user still decides to
  19. ! go ahead.
复制代码

外壳入口
https://s.threatbook.com/report/url/347bb1531c3595488ef1eca6849dd3a7
https://s.threatbook.com/report/url/c21ae7b5b00692a11d28e0218adc84ea
https://s.threatbook.com/report/url/be7810c0cd2893edf9eef70da96ce388

信息收集
https://s.threatbook.com/report/url/26e13c9029be6d8a3f3450c777523d4e

访问重放ＨＡＲ
https://virusscan.jotti.org/zh-CN/filescanjob/l13n87obe5
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AZ_2sviXONZSmF3-00Pe
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=7dc446860b84accce9adca0619da1e80
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=7dc446860b84accce9adca0619da1e80
https://www.virscan.org/report/636cd948a030f43d9970ebbb3b01306301cd8bb50d95d8fb415949d9912dea5e
https://www.virustotal.com/gui/file/636cd948a030f43d9970ebbb3b01306301cd8bb50d95d8fb415949d9912dea5e
https://s.threatbook.com/report/file/636cd948a030f43d9970ebbb3b01306301cd8bb50d95d8fb415949d9912dea5e
https://opentip.kaspersky.com/636CD948A030F43D9970EBBB3B01306301CD8BB50D95D8FB415949D9912DEA5E/results?tab=upload

https://virusscan.jotti.org/zh-CN/filescanjob/t3gj8dxya4
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AZ_2swTAONZSmF3-00Pf
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=719c25714b5edf41b43c9cdbf5f18cc4
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=719c25714b5edf41b43c9cdbf5f18cc4
https://www.virscan.org/report/0dd99dc349552269757191736890e3bde6e630bca495870db414175439542fe4
https://www.virustotal.com/gui/file/0dd99dc349552269757191736890e3bde6e630bca495870db414175439542fe4
https://s.threatbook.com/report/file/0dd99dc349552269757191736890e3bde6e630bca495870db414175439542fe4
https://opentip.kaspersky.com/0DD99DC349552269757191736890E3BDE6E630BCA495870DB414175439542FE4/results?tab=upload

https://virusscan.jotti.org/zh-CN/filescanjob/k6o5v5ijta
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AZ_2sw6UVo2htHHsmO0E
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=1c642709d25a1878bb93cf1be0c77a86
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=1c642709d25a1878bb93cf1be0c77a86
https://www.virscan.org/report/eb03fd0266be39f5796a7f40fc597f057bab0abc102003061e378a825e9e32da
https://www.virustotal.com/gui/file/eb03fd0266be39f5796a7f40fc597f057bab0abc102003061e378a825e9e32da
https://s.threatbook.com/report/file/eb03fd0266be39f5796a7f40fc597f057bab0abc102003061e378a825e9e32da
https://opentip.kaspersky.com/EB03FD0266BE39F5796A7F40FC597F057BAB0ABC102003061E378A825E9E32DA/results?tab=upload



下载器（２０位数字暂时不清楚是何种追踪器，或只是刷新边缘缓存的方法，网页版与官网哈希值／大小差异有变化，官网会自动轮换数字值）
０４时１８分（网页版已登录，右上角下载）
doubao_client_２０位数字ａ_ext.exe
大小: 6935552 字节 : 6773 KiB
XXH64: 82E7CD6430F70A84
CRC64: 9717417E6D27BB76
SHA256: 95e9eed7a05113f4f2e70060bf229b0111f71f42932a261e8be4b33087df3ba1

０６时２２分（网页版已登录，右上角下载）
名称: doubao_client_２０位数字ａ_ext.exe
大小: 6935552 字节 : 6773 KiB
XXH64: 82E7CD6430F70A84
CRC64: 9717417E6D27BB76
SHA256: 95e9eed7a05113f4f2e70060bf229b0111f71f42932a261e8be4b33087df3ba1

０５时３２分（官网下载）
doubao_client_２０位数字ｂ_ext.exe
大小: 6935536 字节 : 6772 KiB
XXH64: 9953419EA2CC33F0
CRC64: EA1BF60CFA1B1C0B
SHA256: fda80cfa60684710d2d674f41eccf17d964d60310aca9730fcce93c9a0f460c9

０６时２１分（官网下载）
doubao_client_２０位数字ｃ_ext.exe
大小: 6935536 字节 : 6772 KiB
XXH64: 9953419EA2CC33F0
CRC64: EA1BF60CFA1B1C0B
SHA256: fda80cfa60684710d2d674f41eccf17d964d60310aca9730fcce93c9a0f460c9

浏览器（根据 https://b23.tv/BV1qLrEBJEkx 程序外观和 https://b23.tv/BV1n4w1zJEhM 的浏览器章节，因此将基座定义为浏览器，但并不完全等同浏览器，仅供参考）
未安装测试，因此无法提供安装包哈希参考或固定结果
今年１月参考大小：３１４兆。  版本号可能３.２５.３
  1. https://www.doubao.com/samantha/user/setting/get?version_code=20800&language=zh&device_platform=web&aid=***&real_aid=***&pkg_type=release_version&device_id=***&pc_version=3.25.3&web_id=***&tea_uuid=***&region=CN&sys_region=CN&samantha_web=1&web_platform=browser&use-olympus-account=1&web_tab_id=***UUID&msToken=***&a_bogus=***
复制代码

下载器文件属性
ＰＤＢ
  1. SamanDownloader.exe
  2. D:\o_installer\Build\x64\UnicodeRelease\SamanDownloader\SamanDownloader.pdb
复制代码
压缩信息
  1. SFX ZIP
  2. 待解压版本：2.0
  3. 压缩平台：DOS

  5. 总文件夹：1
  6. 总文件：60
  7. 总大小：553,789
  8. 打包大小：492,103
  9. 压缩率：88%

  11. SFX 模块大小：3,000,880 字节
  12. 主要注释：不存在
  13. 加密：不存在

  15. 字典大小：32 KB
复制代码
详细信息
  1. 文件说明：Doubao Installer
  2. 类型：应用程序
  3. 文件版本：2.14.7.0
  4. 产品名称：Doubao Installer
  5. 产品版本：2.14.7
  6. 版权：Beijing Chuntian Zhiyun Technology Co., Ltd.
  7. 大小：6.61 MB
  8. 修改日期：2026/07/03 06:22
  9. 语言：中文(简体，中国)
  10. 原始文件名：Doubao Installer.exe
复制代码

数签
北京春田知韵科技有限公司
‎2026 ‎年‎ 06 ‎月 ‎16 ‎日，21 点 04 分 44 秒
DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 签发
SHA256 摘要算法，RSA 摘要加密算法
证书序列号：0d 7b 00 db 1e 71 25 f7 2a 30 c0 d6 72 a3 ef 52

网页端扫码过程
Get（xhr 发起：... /static/js/async/bdms-sdk.94f9ceb4.js:2，代码版权说明：... /static/js/async/bdms-sdk.94f9ceb4.js.LICENSE.txt）
  1. /**
  2.           * [js-md5]{@link https://github.com/emn178/js-md5}
  3.           *
  4.           * @namespace md5
  5.           * @version 0.7.3
  6.           * @author Chen, Yi-Cyuan [emn178@gmail.com]
  7.           * @Copyright Chen, Yi-Cyuan 2014-2017
  8.           * @license MIT
  9.           */
复制代码
  1. scheme：https
  2. host：www.doubao.com
  3. filename：/passport/web/get_qrcode/

  5. next：https://www.doubao.com
  6. passport_jssdk_version：4.1.5-beta.0
  7. passport_jssdk_type：normal
  8. is_from_ttaccountsdk：1
  9. aid：***
  10. language：zh
  11. account_app_language：zh
  12. ts：unix 时间戳
  13. multi_login：1
  14. account_sdk_source：web
  15. account_sdk_source_info：***
  16. biz_trace_id：***
  17. device_platform：web
  18. sign：***
  19. qs：***
  20. a_bogus：类似某种 base 编码
复制代码

载荷 Cookies
  1. biz_trace_id        "***"
  2. dbx-web-theme        "light"
  3. flow_cur_user_sec_id        ""
  4. flow_ssr_sidebar_expand        "1"
  5. flow_user_country        "CN"
  6. i18next        "zh"
  7. odin_tt        "***"
  8. passport_csrf_token        "***"
  9. passport_csrf_token_default        "***"
  10. ttwid        "***"
复制代码

载荷请求
  1. 无
复制代码

响应 Cookies
  1. ＞reg-store-region        {…}
  2. 　domain        "doubao.com"
  3. 　httpOnly        true
  4. 　path        "/"
  5. 　secure        true
  6. 　value        ""
复制代码

响应 JSON
  1. {
  2.     "data": {
  3.         "app_name": "",
  4.         "captcha": "",
  5.         "copywriting": "{"title":"请使用已登录账号的设备扫码","desc":"为保障账号安全，请使用[color=red]「抖音 APP」[/]扫码验证，以确保为本人操作","page_title":"身份验证"}",
  6.         "desc_url": "",
  7.         "description": "",
  8.         "error_code": 0,
  9.         "expire_time": 1783023426,
  10.         "is_frontier": false,
  11.         "qrcode": "Base 编码",
  12.         "qrcode_index_url": "https://www.doubao.com/flow-account/scan-login?device_platform=web&next_url=https://www.doubao.com/flow-account/scan-login&qr_source_aid=***&token=***_lf",
  13.         "token": "***_lf",
  14.         "web_name": "豆包 Web"
  15.     },
  16.     "message": "success"
  17. }
复制代码

jotti（仅下载器ａ与ｂ，下同。目前已没办法直接下到完整版安装包）
https://virusscan.jotti.org/zh-CN/filescanjob/pf3cwf4yur
https://virusscan.jotti.org/zh-CN/filescanjob/5j8oz38jr9

奇安信
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AZ8lDWcQVo2htHHsgpr3
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AZ8lDiReONZSmF3-t99P

virscan（1/43 检出，Filseclab：Suspicious:TrojanSpy.Agent.bthp.ickd.mg，其他均报告安全）
https://www.virscan.org/report/95e9eed7a05113f4f2e70060bf229b0111f71f42932a261e8be4b33087df3ba1
https://www.virscan.org/report/fda80cfa60684710d2d674f41eccf17d964d60310aca9730fcce93c9a0f460c9

由于可能涉及未知追踪标记，暂不上传到微步（因为样本可下载，避免隐私）
请见谅，您可以自行下载后，再上传带自己编号的下载器文件到微步里扫描

下载器（官网获取）
提取码：无，解压码：无
  1. https://www.doubao.com/download
复制代码
回复

举报

fdsax
发表于 2026-7-3 12:52:29 | 显示全部楼层
bd扫码miss
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2026-10-19 09:13 , Processed in 0.087778 second(s), 3 queries , Redis On.

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表