警惕最近以名称“Addin”出现在计算机中的（白+黑）不明程序

显示全部楼层 · 发表于 2026-7-3 22:22:30

本帖最后由川建国代理人于 2026-7-3 22:55 编辑

本人计算机继7/1日拦截恶意C2服务器后，在今日弹窗病毒实体
原帖链接：疑似供应链攻击延续？实机中招后被拦截_病毒样本分享&分析区_安全区卡饭论坛 - 互助分享 - 大气谦和!

已知的明显中毒特征是：按 Win + R 键，输入 %appdata% 后在打开的文件夹里看到了叫 Office 的文件夹，里面有叫 TeamAddin 的子文件夹
样本提取：https://wwbga.lanzouu.com/ixQyN3u7w5wf
@DisaPDB @wwwab

复制代码

显示全部楼层 · 发表于 2026-7-4 00:09:29

确认受白+黑污染安装源
安装office的用户若对此插件无需求可暂时处理路径C:\Users\Lenovo\AppData\Roaming\OfficeAddinZhix中的内容

提取：https://wwbga.lanzouu.com/iFEJq3turplg

显示全部楼层 · 发表于 2026-7-3 22:50:13

360扫描不报

显示全部楼层 · 发表于 2026-7-3 23:18:59

avast双击miss

显示全部楼层 · 发表于 2026-7-3 23:23:47

按vt的情况看，卡巴算第一批报毒的？

显示全部楼层 · 发表于 2026-7-3 23:34:58

awsl10000次发表于 2026-7-3 23:23
按vt的情况看，卡巴算第一批报毒的？

应该说数据库校对比较灵敏，这种攻击持续一段时间了，不断有新的载体，两天前卡巴正常运行的状态下这个AiPPT完成了静默安装，到连接恶意C2的环节与数据库已有恶意C2重合而拦截，只能说运气好，万一是未被记录的服务器，应该还能进行到下载环节，然后建立远程连接时可能再拦一下

显示全部楼层 · 发表于 2026-7-3 23:58:59

红伞扫描miss，沙盒内运行冰盾拦截一次，过了一会儿样本自退

显示全部楼层 · 发表于 2026-7-4 00:14:10

川建国代理人发表于 2026-7-3 23:34
应该说数据库校对比较灵敏，这种攻击持续一段时间了，不断有新的载体，两天前卡巴正常运行的状态下这个Ai ...

所以这个aippt不是你自己装的？
卡巴只报了aippt，仍然没有找到最初的源头，看起来这事没完啊（不过运气也算好的了）
我觉得可以看看卡巴斯基的入侵防御日志？既然确定是这几天可以看看有什么不寻常的程序启动了？
尤其是那个c2的拦截时间，可以按时间看当时除了aippt以外什么把卡巴过了

显示全部楼层 · 发表于 2026-7-4 00:15:57

本帖最后由川建国代理人于 2026-7-4 00:17 编辑

awsl10000次发表于 2026-7-4 00:14
所以这个aippt不是你自己装的？
卡巴只报了aippt，仍然没有找到最初的源头，看起来这事没完啊（不过运气 ...

本来是office的插件，是随着office更新自主安装的，但安装源被攻击组织污染嵌入恶意代码，有数签
Office 助手被供应链攻击？投递 Mltab 插件影响海量终端
看报道

显示全部楼层 · 发表于 2026-7-4 00:24:07

本帖最后由 awsl10000次于 2026-7-4 00:26 编辑

川建国代{过}{滤}理人发表于 2026-7-4 00:15
本来是office的插件，是随着office更新自主安装的，但安装源被攻击组织污染嵌入恶意代码，有数签
Office ...

原来如此
半年前就曝光了持续快两年的问题，这个插件官方竟然现在还没有解决问题？
这么大的安装量，再配上这么惨淡的检测率，感觉影响不小啊
防不胜防啊
ps：360等等厂商跟进拉黑以后恐怕会吓到很多这个插件用户，
卡巴这个先没头没尾拦截c2的情况也挺吓人

[病毒样本] 警惕最近以名称“Addin”出现在计算机中的（白+黑）不明程序