已被蠕虫感染的病毒样本，Virus/Expiro.q，火绒可安全修复，奇安信人工收录

3306-1

来源：https://www.52pojie.cn/thread-2115911-1-1.html
发现：chenboss
分发：网易云对象存储（Netease Object Storage）子服务具体未知，有可能是智企云数帆 https://sf.163.com/search/572R5piT5LqR5a-56LGh5a2Y5YKo?t=ask （ysf）遭到滥用
提醒：该病毒火绒实测可以安全修复，清理恶意代码，将文件修复至正常状态
收录：该帖子，已被（奇安信）人工收录到指定网址的相关安全情报里

文件指纹
修复前
98538f42cf55f813d1b5b9582f5bd37c.exe
大小: 1318912 字节 : 1288 KiB
XXH64: 2A07C123F0FA6D1C
CRC64: C8B2ED66F093483C
SHA256: a95cc2fb1d7c6dc7b5c95ba43e6476e6cca7b7d8651ab6187b838a3dc664f926

修复后
98538f42cf55f813d1b5b9582f5bd37c.exe
大小: 737280 字节 : 720 KiB
XXH64: 03BAF4F6FF376924
CRC64: C95A5A5E54C1F41F
SHA256: 21c4007e8df2964230d25f1302de8cfa3355d8b244af2307ba2f3ef93de5fbe4

发现者描述

1. 有个特点，路径带有Windows或Microsoft这两个目录下面的exe就不去感染，但下面列出的系统文件路径依旧会感染。
   
2. 被感染的exe体积会增大300-800KB区间，对比了一下十六进制，发现病毒摆在文件尾部，在开头篡改了程序入口。
   
3. 还会疯狂发起http连接境外IP:80端口，有很多IP每隔几秒就发起一次。
   
4. 
   
5. 会感染好多系统exe

复制代码

火绒扫描（我自己的本地扫描结果）
6.0.11.0 版本
07-06 19:27 病毒库

2026/07/07 07:31:08
病毒防护
文件实时监控
发现病毒Virus/Expiro.q,已处理

病毒名称：Virus/Expiro.q
病毒ID：F9AD7667798D2600
病毒路径：98538f42cf55f813d1b5b9582f5bd37c.exe
操作结果：已处理（注：直接整个文件隔离，非剥离仅清除修复被感染内容）

2026/07/09 17:14:15
病毒防护
病毒查杀
自定义扫描(手动执行)，发现1个风险项目

病毒库时间：2026-07-08 19:27
开始时间：2026-07-09 17:14
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:01
扫描对象：1
扫描文件：1
发现风险：1
已处理风险：1
病毒详情：

风险路径：f_000017a.exe,
病毒名：Virus/Expiro.q,
病毒ID：f9ad7667798d2600,
处理结果：已处理，清除恶意代码

该易语言程序本身，编译时间戳
2026-07-01 22:08:17

疑似具有远控属性，运行期间奇安信小窗观测到鼠标会自主行动并多次双击桌面上的示例 .docx 文档
以下数据部分存疑，因为暂时分不清楚是易语言本身被预设的相关动作， 还是感染或新型感染后行为

通过 RisohEditor 工具对程序本身进行分析，主要窗口具有演播、数据库、文档打印功能
根据修复前后的行为和沙箱数据比对，以下行为特征，均是由 Expiro 病毒主导的相关动作

修复前与修复后十六进制对比，主要差异有三点，其病毒核心载荷在文件尾部

请求数据

1. Post
   
2. http://npukfztj.biz/qh
   
3. 
   
4. POST
   
5. http://przvgke.biz/gd
   
6. 
   
7. POST
   
8. http://przvgke.biz/vchktgvxx
   
9. 
   
10. 等等一系列 .biz 后缀域名，详见沙箱日志

复制代码

释放文件

1. %USERPROFILE%\AppData\Roaming\d6739753d8a2452.bin

复制代码

读取信息

1. %USERPROFILE%\AppData\Local\Google\Chrome\User Data\Default\

复制代码

安装插件

1. C:\Program Files (x86)\Mozilla Firefox\browser\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}\

复制代码

创建感染

1. C:\Windows\SysWow64\perfhost.exe
   
2. C:\Windows\system32\fxssvc.exe
   
3. C:\Program Files (x86)\Kingsoft\office6\wpscloudsvr.exe
   
4. 
   
5. 等等一大串文件，详见沙箱日志

复制代码

Jotti（修复前／修复后，下同）
https://virusscan.jotti.org/zh-CN/filescanjob/ilsfxj3hat
https://virusscan.jotti.org/zh-CN/filescanjob/yj9pt6935l

奇安信（网址重复扫描，依然判定安全，本帖已收录；手动上传文件则正常判定为病毒）
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AZ857pcxmTITNisAGJpR
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AZ9GPujlmTITNisAGkl-
https://ti.qianxin.com/v2/search?type=url&value=https://nos.netease.com/ysf/98538f42cf55f813d1b5b9582f5bd37c.exe

virscan
https://www.virscan.org/report/a95cc2fb1d7c6dc7b5c95ba43e6476e6cca7b7d8651ab6187b838a3dc664f926
https://www.virscan.org/report/21c4007e8df2964230d25f1302de8cfa3355d8b244af2307ba2f3ef93de5fbe4

微步
https://s.threatbook.com/report/url/3a51172a726674fc89ebca493ebf593e
https://s.threatbook.com/report/file/a95cc2fb1d7c6dc7b5c95ba43e6476e6cca7b7d8651ab6187b838a3dc664f926
https://s.threatbook.com/report/file/21c4007e8df2964230d25f1302de8cfa3355d8b244af2307ba2f3ef93de5fbe4

天穹（网址／修复前／修复后）
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=f37489d1d62459253b317f98c838cd86&sk=92128583
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=c6dd7bb34e745d2d2d4190578432cb4e&sk=20711204
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=48f86629e0b89d6e829f768e031978ec&sk=49838075

卡巴
https://opentip.kaspersky.com/A95CC2FB1D7C6DC7B5C95BA43E6476E6CCA7B7D8651AB6187B838A3DC664F926/results?tab=upload
https://opentip.kaspersky.com/21C4007E8DF2964230D25F1302DE8CFA3355D8B244AF2307BA2F3EF93DE5FBE4/results?tab=upload

网络上的民间主观当时 Expiro 病毒查杀实测，与被感染后清除方法参考
https://t.bilibili.com/1012693914788823074#reply250161414976 ２４年，by 杰尔茨基
https://t.bilibili.com/1079505425329553410#reply290094213921 ２５年，by 杰尔茨基

样本（原帖作者提供，通过网易对象存储 ysf 子服务分享）
提取码：无，解压码：无

1. 这是病毒直链，请注意！https://nos.netease.com/ysf/98538f42cf55f813d1b5b9582f5bd37c.exe这是病毒直链，请注意！
   
2. 
   
3. 这是病毒直链，请注意！
   
4. 这是病毒直链，请注意！
   
5. 这是病毒直链，请注意！

复制代码

wwwab

跟易语言没什么关系，感染型病毒会全盘感染原先正常的PE文件，只是这个被感染的文件原先正好是易语言程序，和感染型病毒本身没有什么联系。
也不是无名，就是Expiro。感觉有些小题大做。
那个下载地址应该是那个楼主的个人网易云对象存储，他把文件上传出来分享给你们，尽管这个分发方式是不负责任的（exe文件, 未压缩且未加密）。

fdsax

best监控+atc

zfc234

瑞星v17监控落地击杀

吃瓜群众第123位

AhnLab V3 Lite 特征杀

7740248

又有这种老感染型病毒了

123456aaaafsdeg

3306-1

wwwab 发表于 2026-7-7 11:59
跟易语言没什么关系，感染型病毒会全盘感染原先正常的PE文件，只是这个被感染的文件原先正好是易语言程序， ...

标题无名我这里指的是易语言本身没有任何命名，文件名或者文件属性之类
并非指病毒无名，病毒名称明确打在标题／正文／沙箱里了，感谢热心解答

确实标题不够严谨且容易被误解，已完成变更，感谢指正

旧

1. 无名易语言蠕虫，Virus/Expiro.q，疑似通过网易对象存储的智企云数帆服务分发

复制代码

改

1. 已被蠕虫感染的易语言样本，Virus/Expiro.q，疑似通过网易 NOS 的智企云数帆服务分发

复制代码

改

1. 已被蠕虫感染的易语言样本，火绒报告 Virus/Expiro.q

复制代码

新

1. 已被蠕虫感染的病毒样本，Virus/Expiro.q，火绒可以安全修复

复制代码

superLYT

EEA拦截下载直链

西瓜视频运气

ESSP 落地杀