一个会断网的恶意软件

显示全部楼层 · 发表于 2026-7-26 17:12:34

来源 https://pc-aulacn.com.cn样本分流 intll.1.zz011.zip - 蓝奏云
VirusTotal - File - 1472743f0616bafbb4ebd6493538c41195a2ec63a1124f2363c3546a8f04811a
MD5
9ebfabc11a98ec1b565de269b5e0d4cc

SHA-1
3d889b4805613dae5f1ea97dd4d2a9fc3cc2e7c0

SHA-256
1472743f0616bafbb4ebd6493538c41195a2ec63a1124f2363c3546a8f04811a

显示全部楼层 · 发表于 2026-7-26 17:15:08

显示全部楼层 · 发表于 2026-7-26 17:51:21

奇安信杀

显示全部楼层 · 发表于 2026-7-26 18:10:59

TES kill

显示全部楼层 · 发表于 2026-7-26 18:55:36

趋势科技云端版 kill TrojanSpy.Win32.EMOTET.USBLGQ26

显示全部楼层 · 发表于 2026-7-26 19:16:39

ESU解压触发liveguard，耗时超5分钟才报可疑

显示全部楼层 · 发表于 2026-7-26 19:45:42

本帖最后由 3306-1 于 2026-7-26 20:20 编辑

诺亚落地页家族，但本次没有银狐疑似
特征，以及手机黑产类俄罗斯套娃中转

外壳域名
域　名　pc-aulacn[.]com[.]cn
注册商　北京新网数码信息技术有限公司
注册人　5b6Q5rW36Imz
邮　箱　YWxpcmV6YWpvYmUxNzFAZ21haWwuY29t
注册日　2026-07-22 19:48:52 UTC+8
过期日　2027-07-22 19:48:52 UTC+8
状　态　正常
DNS　　ns1[.]363[.]hk
　　　　ns2[.]363[.]hk
DNSSEC　未配置

接口域名
域　名　noah-serve[.]com
注册商　Realtime Register B.V.
注册人
邮　箱
注册日　2026-07-24 23:56:10 UTC+8
过期日　2027-07-24 23:56:10 UTC+8
更新日　2026-07-25 10:47:51 UTC+8
IANA_ID　839
状　态　客户端禁止转移
　　　　新增期
DNS　　hans[.]ns.cloudflare[.]com
　　　　mira[.]ns.cloudflare[.]com
DNSSEC　未配置

临时指向
域　名　lasdfjeoiu[.]vip
注册商　Dynadot Inc
注册人
邮　箱
注册日　2026-07-21 23:59:47 UTC+8
过期日　2027-07-21 23:59:47 UTC+8
更新日　2026-07-22 00:09:24 UTC+8
IANA_ID　472
状　态　客户端禁止转移
　　　　注册局禁止转移
　　　　新增期
DNS　　ximena[.]ns.cloudflare[.]com
　　　　felipe[.]ns.cloudflare[.]com
DNSSEC　未配置

中转落地
域　名　amazonaws[.]com
注册商　MarkMonitor Inc.
注册人　Legal Department
注册机　Amazon.com, Inc.
住　址　PO BOX 81226
城　市　西雅图（Seattle）
省／州　华盛顿州（WA）
地　区　美国（US）
电　话　+1. MjA2MjY2NDA2NA==
邮　箱　aG9zdG1hc3RlckBhbWF6b24uY29t
注册日　2005-08-18 10:10:45 UTC+8
过期日　2027-01-16 12:59:59 UTC+8
更新日　2024-01-30 02:09:26 UTC+8
IANA_ID　292
状　态　客户端禁止删除
　　　　客户端禁止转移
　　　　客户端禁止更新
　　　　注册局禁止删除
　　　　注册局禁止转移
　　　　注册局禁止更新
DNS　　ns-1321[.]awsdns-37[.]org
　　　　ns-1670[.]awsdns-16[.]co[.]uk
　　　　ns-27[.]awsdns-03[.]com
　　　　ns-967[.]awsdns-56[.]net
DNSSEC　未配置

客服相关
域　名　kyfsiustsbfskjwtewkfjsnb[.]com
注册商　Gname.com Pte. Ltd.
注册人
邮　箱
地　区　菲律宾（PH）
注册日　2025-04-21 01:49:56 UTC+8
过期日　2027-04-21 01:49:56 UTC+8
更新日　2026-03-20 03:57:58 UTC+8
IANA_ID　1923
状　态　客户端禁止转移
DNS　　n1[.]xundns[.]com
　　　　n2[.]xundns[.]com
DNSSEC　未配置

文件指纹（快速轮换，并不固定）
intll.1.zz015.zip
大小: 5725476 字节 : 5591 KiB
CRC32: 4E1558DF
CRC64: 8213655098D64045
XXH64: CB54B90E1AC2A0B5
SHA256: 5c48355fa14d1d51753b4697e601c92e0cb63527bbf90ea8cb27dc68310a3e0a

intll.1.zz015.msi
大小: 5890048 字节 : 5752 KiB
CRC32: 24F0D66E
CRC64: C0A39F8FDAEC23C7
XXH64: 5927BC4E0BD47D2F
SHA256: 47b41d54418accd3fffd9f5a4303b5ee4c42d413b058e1c40aa0358ee7a49465

火绒扫描（我自己的本地扫描结果）
6.0.11.1 版本
07-25 20:35 病毒库

2026/07/26 18:48:55
病毒防护
下载保护
发现病毒Backdoor/Lotok.gs,已处理

病毒名称：Backdoor/Lotok.gs
病毒ID：A5668D0B39DF682D
病毒路径：intll.1.zz015.zip
操作结果：已处理

2026/07/26 19:43:38
病毒防护
病毒查杀
自定义扫描(手动执行)，发现1个风险项目

病毒库时间：2026-07-25 20:35
开始时间：2026-07-26 19:43
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:06
扫描对象：37
扫描文件：1
发现风险：1
已处理风险：1
病毒详情：

风险路径：intll.1.zz015.msi
病毒名：Backdoor/Lotok.gs
病毒ID：A5668D0B39DF682D
处理结果：已处理，删除文件

外链统计脚本

<script charset="UTF-8" id="LA_COLLECT" src="//sdk[.]51[.]la/js-sdk-pro.min.js"></script>
<script>
LA.init({
id: "3QeItG2289rS1l5O",
ck: "3QeItG2289rS1l5O"
})
</script>

复制代码

内联脚本内容

(function () {
var downloadBtns = document.querySelectorAll(".pc-dl-trigger");
fetch("https://noah-serve[.]com/api.php")
.then(function (res) {
return res.json();
})
.then(function (data) {
if (data.code === 0 && data.download_link) {
downloadBtns.forEach(function (btn) {
btn.href = data.download_link;
});
}
})
.catch(function (err) {
console.log("Link fetch error:", err);
});
})();

复制代码

接口描述信息

https://noah-serve[.]com/index.php
https://noah-serve[.]com/groups.php
诺亚
落地页链接统一管理系统
如需开通账号，请联系系统管理员

复制代码

接口响应内容

{
"code": 0,
"message": "success",
"download_link": "https://www[.]wqnu181[.]com/26down",
"link_source": "global",
"category": "",
"group": ""
}

复制代码

历史响应参考

暂无

复制代码

下载参考名称

intll.1.zz015.zip
intll.1.zz015.msi

复制代码

手访临时指向

location　https://sakkhc8[.]lasdfjeoiu[.]vip/news.html

复制代码

亚马逊再中转

<script>
// JavaScript to handle the redirection
// 用于处理重定向的 JavaScript
window.onload = function() {
// 获取当前页面的查询参数，包括问号
const queryParams = window.location.search;
// 目标地址
const targetUrl = "http://iujhgfb6-134319980[.]ap-northeast-2[.]elb[.]amazonaws[.]com/165Xzhan.html";
// 拼接目标地址和查询参数
const fullUrl = targetUrl + queryParams;
// 跳转到目标地址
window.location.href = fullUrl;
};
</script>

复制代码

落地核心脚本

https://aaizkqpale[.]oss-accelerate[.]aliyuncs[.]com/os.js
https://aaizkqpale[.]oss-accelerate[.]aliyuncs[.]com/165.js
https://aaizkqpale[.]oss-accelerate[.]aliyuncs[.]com/165XZhanBan.js
https://aaizkqpale[.]oss-accelerate[.]aliyuncs[.]com/165KF.js
<script>
var swiper = new Swiper('.banner', {
pagination: {
el: '.banner .swiper-pagination',
clickable: true,
},
loop: true,
autoplay: {
delay: 3000,
disableOnInteraction: false,
},
});
var swiper = new Swiper('.type .list', {
slidesPerView: 3,
centeredSlides: true,
pagination: {
el: '.type .list .swiper-pagination',
clickable: true,
},
loop: true,
autoplay: {
delay: 3000,
disableOnInteraction: false,
},
});
</script>
<script>
var $_GET = (function() {
var url = window.document.location.href.toString();
var u = url.split("?");
if (typeof(u[1]) == "string") {
u = u[1].split("&");
var get = {};
for (var i in u) {
var j = u[i].split("=");
get[j[0]] = j[1];
}
return get;
} else {
return {};
}
})();
var shareName = $_GET['shareName'] || '';
var proxyAccount = $_GET['proxyAccount'] || '';
$(".enter").click(function() {
var $this = $(this);
window.open($this.attr("data-url") + "/index.html?shareName=" + shareName + '&proxyAccount=' + proxyAccount);
});
</script>

复制代码

外链统计脚本

<script>
var _hmt = _hmt || []; (function() {
var hm = document.createElement("script");
hm.src = "https://hm[.]baidu[.]com/hm.js?f737e74c1cdd86131444d6da2e1b6e06";
var s = document.getElementsByTagName("script")[0];
s.parentNode.insertBefore(hm, s);
})();
</script>
<script>
var _czc = _czc || []; (function() {
var um = document.createElement("script");
um.src = "https://v1[.]cnzz[.]com/z.js?id=1281486522&async=1";
var s = document.getElementsByTagName("script")[0];
s.parentNode.insertBefore(um, s);
})();
</script>
<script>
var _czc = _czc || []; (function() {
var um = document.createElement("script");
um.src = "https://v1[.]cnzz[.]com/z.js?id=1281397944&async=1";
var s = document.getElementsByTagName("script")[0];
s.parentNode.insertBefore(um, s);
})();
</script>

复制代码

客服相关加密

https://cbeuldfjldtudfj[.]kyfsiustsbfskjwtewkfjsnb[.]com/index?key=187c5392ac508a55134f0e021bacd5b1

复制代码

显示全部楼层 · 发表于 2026-7-26 20:42:20

红伞 kill

显示全部楼层 · 发表于 2026-7-26 20:48:26

BD

D:\Downloads\intll.1.zz011\intll.1.zz011.msi=>(Embedded EXE 2) Gen:Variant.Tedy.984388 Deleted

复制代码

显示全部楼层 · 发表于 2026-7-26 21:48:51

怎么感觉又是这种.msi，估计ESET报VMProtect壳

已经遇到很多次了

[病毒样本] 一个会断网的恶意软件

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源