疑似银狐变种

周必成

来自坛友分享的卡巴假官网https://app-kaspersky.com.cn/
卡巴免费版、360均未报毒。

链接：https://1817878137.share.123pan.cn/123pan/9Ervjv-3wuS?pwd=2PJK#
提取码：2PJK

西风萧雨

网站已被卡巴拦截
360已报

莒县小哥

压缩的时空

参考链接：https://bbs.huorong.cn/thread-163357-1-1.html

火绒kill

1. 病毒库时间：2026-08-03 19:18
   
2. 开始时间：2026-08-04 18:17
   
3. 执行类型：手动执行
   
4. 扫描类型：自定义扫描
   
5. 总计用时：00:00:09
   
6. 扫描对象：37
   
7. 扫描文件：1
   
8. 发现风险：1
   
9. 已处理风险：1
   
10. 病毒详情：
    
11. 风险路径：C:\Users\yaya\Desktop\inst_s0t010.msi, 病毒名：Backdoor/Lotok.gs, 病毒ID：a5668d0b39df682d, 处理结果：已处理，删除文件
    

复制代码

仍旧为SK银狐团伙所为

1. 风险分类：木马盗号
   
2. 访问网址：fezhx.com
   
3. 操作结果：已阻止
   

复制代码

载荷投递：

1. 0nbay3.oss-cn-beijing.aliyuncs.com:443

复制代码

wowocock

病毒名称：Backdoor/Lotok.gs
病毒ID：A5668D0B39DF682D
病毒路径：C:\Windows\Installer\MSI5A55.tmp
操作类型：修改
操作结果：已处理，删除文件

进程ID：6244
操作进程：C:\Windows\System32\msiexec.exe
操作进程命令行：C:\Windows\system32\msiexec.exe /V
父进程ID：784
父进程：C:\Windows\System32\services.exe

压缩的时空

wowocock 发表于 2026-8-4 18:17
病毒名称：Backdoor/Lotok.gs
病毒ID：A5668D0B39DF682D
病毒路径：C:\Windows\Installer\MSI5A55.tmp

火绒反复查杀，专杀也扫不到...

wwwab

压缩的时空 发表于 2026-8-4 18:36
火绒反复查杀，专杀也扫不到...

fdsax

emsi拦截网站加扫描kill

wwwab

压缩的时空 发表于 2026-8-4 18:36
火绒反复查杀，专杀也扫不到...

木马跑完之后会添加WDAC规则然后重启机器的，你那里看着像是冰盾拦截联网之后恶意安装包（加载恶意内嵌dll）跑不下去没出行为。
msiexec.exe是恶意安装包（加载恶意内嵌dll）执行后续行为的宿主进程，被内存扫描和联网防护识别出来了，但是（该宿主进程位于系统目录下）火绒不结束它的进程.. 后续成功完整跑完之后专杀干掉WDAC规则、VulnDriver和可疑启动项重启，再启动火绒，才都能扫出来。

DisaPDB

1. hxxps://83newo.oss-cn-beijing.aliyuncs[.]com/tad

复制代码

C2 北京阿里云OSS