帮忙鉴定下木马，小弟能力有限

显示全部楼层 · 发表于 2026-7-9 11:20:35

各位大佬好，
小弟能力有限，是否可以鉴定下这个文件是否是木马？

我做的努力：
软件打开没界面，TCP 长连接到 35.78.126.246
文件在下面，里面还有3个文件，要放在同一目录运行
https://send.evsign.cn/#/?code=25054

我抓了 wireshark 数据包，上传到这里：
https://send.evsign.cn/#/?code=21805

virustotal 1个标记
https://www.virustotal.com/gui/f ... 10d7873e5/detection

连接的 IP 没有标记，但是有个恶意域名解析到这个 IPhttps://x.threatbook.com/v5/ip/35.78.126.246

还望大佬看看，指点迷津

显示全部楼层 · 发表于 2026-7-9 11:41:12

样本从哪下载

显示全部楼层 · 发表于 2026-7-9 11:52:42

https://opentip.kaspersky.com/87 ... /results?tab=upload

显示全部楼层 · 发表于 2026-7-9 12:01:23

搜索引擎劫持修改注册表 HKCU\Software\Tencent\MiniBrowser\Cfg\SearchEng，控制默认搜索引擎
加密载荷执行读取 ousctr.gtk，XOR解密后内存执行，绕过静态检测
反调试钩取 UnhandledExceptionFilter、RaiseFailFastException、RtlReportException，阻止崩溃转储
进程注入通过 DuplicateHandle + CreateProcess 传递进程句柄给子进程
DLL侧加载加载 qbcore.dll（同目录），可能替换合法腾讯组件
远程控制通过 IPC channel 与浏览器通信，支持远程命令
推广佣金 installQB 命令携带 supplyid=10027085，疑似CPA推广计费
这是AI分析得出的，应该是属于DLL侧载攻击
这个如果中毒了，火绒专杀工具应该能解决

显示全部楼层 · 发表于 2026-7-9 12:34:49

hmpa

显示全部楼层 · 发表于 2026-7-9 12:41:49

卡巴pdm kill

显示全部楼层 · 发表于 2026-7-9 12:45:56

pzacker 发表于 2026-7-9 11:41
样本从哪下载

样本直接点击链接就可以下载，是我做的文件分享网盘
https://send.evsign.cn/#/?code=25054

显示全部楼层 · 发表于 2026-7-9 12:59:15

https://x.threatbook.com/v5/domain/api.keensie.com
域名黑了，报的金眼狗。
IP我看看能不能让他们再补一条。

显示全部楼层 · 发表于 2026-7-9 13:21:04

ESSP 纯miss

显示全部楼层 · 发表于 2026-7-9 13:38:14

wwwab 发表于 2026-7-9 12:59
https://x.threatbook.com/v5/domain/api.keensie.com
域名黑了，报的金眼狗。
IP我看看能不能让他们再补 ...

确实非常可疑，但是我技术不够，拿不到证据

[可疑文件] 帮忙鉴定下木马，小弟能力有限

本帖子中包含更多资源