欺诈窃密程序自签名篡改 teams-launcher.exe，暂未检出，火绒卡巴不报未双击

3306-1

来源：https://www.52pojie.cn/thread-2125841-1-1.html
发现：CrazyNut
抄送：@火绒工程师

发现者描述

1. 一不小心安装了一个假的 Microsoft Teams 安装包

复制代码

下载来源
暂未提供

文件指纹
Teams Setup.msi
大小: 50913280 字节 : 48 MiB
CRC32: 1C583B8C
CRC64: AEB192D04ED50CDE
XXH64: 8F0C00C1140EC5C6
SHA256: 31347e57d7d2a47d76231b067cd92df38f684930efd3a29ceb78cc4dc985200d
SHA3-256: ffebe6df476d5f92b3ef786f97bb376e85ea31b6c4115657fdcfc30fe26eeda5

teams-launcher.exe
大小: 49654768 字节 : 47 MiB
CRC32: A2B2AE7A
CRC64: 275808A6D707F657
XXH64: 60F927CC3BA67634
SHA256: 6e6c2e394915cfe078b9c6f7d1969720628bb2842ba0141b597a7e1565e400b2
SHA3-256: 36de8552b94fc3ad7c52840ed9637e57eecf544f273e32a7cce18b4d259986dd

火绒扫描（我自己的本地扫描结果）
6.0.11.3 版本
09-01 20:18 病毒库

2026/09/02 10:13:34
病毒防护
病毒查杀
自定义扫描(手动执行)，发现0个风险项目

病毒库时间：2026-09-01 20:18
开始时间：2026-09-02 10:13
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:02
扫描对象：7
扫描文件：2
发现风险：0
已处理风险：0

解包工具

1. 常见 MSI、NSIS、Inno 打包程序解包工具（20180703 更新）
   
2. https://www.52pojie.cn/thread-751608-1-1.html　by Hmily
   
3. 
   
4. lessmsi-v2.12.9 2026-04-03.zip
   
5. https://github.com/activescott/lessmsi/releases

复制代码

外壳属性

1. NOT EXE - its MSI format ( .DOC .XLS .PPS ) -> Gen. OLE2 - .MSI - ver : 4.62
   
2. 
   
3. 标题
   
4. Teams Windows Installer
   
5. 
   
6. 创建内容的时间
   
7. 2024-12-21 21:45
   
8. 
   
9. 程序名称
   
10. Windows Installer XML Toolset (3.14.1.8722)
    
11. 
    
12. 项目类型
    
13. Windows Installer 程序包
    
14. 
    
15. 作者
    
16. Teams Company

复制代码

核心属性

1. x64 - [ Rust Compiler v1.12 - 1.96 or Unknown or not Rust - www.rust-lang.org ] - stub :  x64 Microsoft Visual C++ v14.44 - 2025 - (exe 4883EC28-48) - [ Deb : 02  C++ CodeView ]  ,
   
2. Overlay :  Signed
   
3. 
   
4. 调试符号
   
5. teams_launcher.pdb
   
6. 
   
7. 编译时间
   
8. 2026-08-03 08:20:15
   
9. 
   
10. 文件说明
    
11. Application Runtime Environment
    
12. 
    
13. 类型
    
14. 应用程序
    
15. 
    
16. 产品名称
    
17. Teams Launcher
    
18. 
    
19. 文件版本
    
20. 2.90.2117.26616
    
21. 
    
22. 产品版本
    
23. 8.97.5892.18531
    
24. 
    
25. 大小
    
26. 47.3 MB
    
27. 
    
28. 版权
    
29. Copyright 2025 Teams lnc.
    
30. 
    
31. 语言
    
32. 英语(美国)
    
33. 
    
34. 合法商标
    
35. Registered trademark.
    
36. 
    
37. 原始文件名
    
38. Teams Launcher.exe

复制代码

核心解压

1. SFX ZIP 压缩文件
   
2. 
   
3. 总文件
   
4. 1
   
5. 
   
6. 总大小
   
7. 797,183,936
   
8. 
   
9. 打包大小
   
10. 2,231,369,727
    
11. 
    
12. 压缩率
    
13. 279%
    
14. 
    
15. SFX 模块大小
    
16. 1,702,653 字节

复制代码

核心数签

1. 自签名证书
   
2. Application Publisher
   
3. 2026-08-03 08:20:15
   
4. Application Publisher 签发
   
5. SHA256 摘要算法，RSA 摘要加密算法
   
6. 证书序列号：5c c0 a0 3d aa fa 04 47 a6 1d 56 04 64 04 c5 10 6f 21 a1 c0

复制代码

数签验证

1. 数字签名被篡改，哈希校验不通过，签名复制（Forged Signature）

复制代码

外壳报错

1. ---------------------------
   
2. Teams Launcher Setup
   
3. ---------------------------
   
4. 系统无法打开指定的设备或文件。
   
5. ---------------------------
   
6. Retry
   
7. Cancel
   
8. ---------------------------

复制代码

默认位置

1. C:\Program Files\Teams Launcher\teams-launcher.exe

复制代码

释放文件

1. %LocalAppData%\com.applauncher.desktop\EBWebView
   
2. 
   
3. 常见的 Chromium User Data 运行产物

复制代码

后台调用

1. msedgewebview2.exe"
   
2. --embedded-browser-webview=1
   
3. --webview-exe-name=teams-launcher.exe
   
4. --webview-exe-version=8.97.5892.18531
   
5. --user-data-dir="C:\Users\Administrator\AppData\Local\com.applauncher.desktop\EBWebView"
   
6. --noerrdialogs
   
7. --embedded-browser-webview-dpi-awareness=2
   
8. --autoplay-policy=no-user-gesture-required
   
9. --disable-features=msWebOOUI,msPdfOOUI,msSmartScreenProtection
   
10. --enable-features=MojoIpcz
    
11. --lang=zh-CN
    
12. --mojo-named-platform-channel-pipe=4444.6508.10478349120750749191
    
13. 
    
14. msedgewebview2.exe"
    
15. --type=crashpad-handler
    
16. --user-data-dir=C:\Users\Administrator\AppData\Local\com.applauncher.desktop\EBWebView /prefetch:4
    
17. --monitor-self-annotation=ptype=crashpad-handler
    
18. --database=C:\Users\Administrator\AppData\Local\com.applauncher.desktop\EBWebView\Crashpad
    
19. --annotation=IsOfficialBuild=1
    
20. --annotation=channel=
    
21. --annotation=chromium-version=128.0.6613.114 "
    
22. --annotation=exe=C:\Program Files (x86)\Microsoft\EdgeWebView\Application\128.0.2739.54\msedgewebview2.exe"
    
23. --annotation=plat=Win64 "
    
24. --annotation=prod=Edge WebView2"
    
25. --annotation=ver=128.0.2739.54
    
26. --initial-client-data=0x1f8,0x1fc,0x200,0x1d4,0x1ac,0x7ffccc519fd8,0x7ffccc519fe4,0x7ffccc519ff0
    
27. 
    
28. msedgewebview2.exe"
    
29. --embedded-browser-webview=1
    
30. --webview-exe-name=teams-launcher.exe
    
31. --webview-exe-version=8.97.5892.18531
    
32. --user-data-dir="C:\Users\Administrator\AppData\Local\com.applauncher.desktop\EBWebView"
    
33. --noerrdialogs
    
34. --embedded-browser-webview-dpi-awareness=2
    
35. --autoplay-policy=no-user-gesture-required
    
36. --disable-features=msWebOOUI,msPdfOOUI,msSmartScreenProtection
    
37. --enable-features=MojoIpcz
    
38. --lang=zh-CN
    
39. --mojo-named-platform-channel-pipe=4444.6508.17584959315016413151
    
40. 
    
41. msedgewebview2.exe"
    
42. --type=crashpad-handler
    
43. --user-data-dir=C:\Users\Administrator\AppData\Local\com.applauncher.desktop\EBWebView /prefetch:4
    
44. --monitor-self-annotation=ptype=crashpad-handler
    
45. --database=C:\Users\Administrator\AppData\Local\com.applauncher.desktop\EBWebView\Crashpad
    
46. --annotation=IsOfficialBuild=1
    
47. --annotation=channel=
    
48. --annotation=chromium-version=128.0.6613.114 "
    
49. --annotation=exe=C:\Program Files (x86)\Microsoft\EdgeWebView\Application\128.0.2739.54\msedgewebview2.exe"
    
50. --annotation=plat=Win64 "
    
51. --annotation=prod=Edge WebView2"
    
52. --annotation=ver=128.0.2739.54
    
53. --initial-client-data=0x1f0,0x1f4,0x1f8,0x1cc,0x204,0x7ffccc519fd8,0x7ffccc519fe4,0x7ffccc519ff0

复制代码

下载来源
暂未提供

Ｃ２地址
暂无发现

外壳情况
https://virusscan.jotti.org/zh-CN/filescanjob/rwouessugt
https://tix.qq.com/search/single?keyword=8693b761190e744b76df962af5b833a2
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AaBfrd0emTITNisAPVDl
https://sandbox.dbappsecurity.com.cn/report/a520ced5-4701-4db8-b419-f76339cc49ea/flat
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=8693b761190e744b76df962af5b833a2
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=8693b761190e744b76df962af5b833a2
https://www.maldun.com/submit/submit_file#:~:text=您上传的文件超过了最大允许上传的大小限制
https://www.virscan.org/report/31347e57d7d2a47d76231b067cd92df38f684930efd3a29ceb78cc4dc985200d
https://www.virustotal.com/gui/file/31347e57d7d2a47d76231b067cd92df38f684930efd3a29ceb78cc4dc985200d
https://s.threatbook.com/report/file/31347e57d7d2a47d76231b067cd92df38f684930efd3a29ceb78cc4dc985200d
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=e3233af4a20fe0d495706a4774ce1994&sk=96945467
https://opentip.kaspersky.com/31347E57D7D2A47D76231B067CD92DF38F684930EFD3A29CEB78CC4DC985200D/results?tab=upload

核心情况
https://virusscan.jotti.org/zh-CN/filescanjob/8nfv5zxls8
https://tix.qq.com/search/single?keyword=bd7c6ac2a55300833ea5889ef71ff4f2
https://sandbox.dbappsecurity.com.cn/report/2d9b2124-b119-4f8b-bc31-aca5e3a7f6ff/flat
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AaBf6dURmTITNisAPVE7
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=bd7c6ac2a55300833ea5889ef71ff4f2
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=bd7c6ac2a55300833ea5889ef71ff4f2
https://www.maldun.com/submit/submit_file#:~:text=您上传的文件超过了最大允许上传的大小限制
https://www.virscan.org/report/6e6c2e394915cfe078b9c6f7d1969720628bb2842ba0141b597a7e1565e400b2
https://www.virustotal.com/gui/file/6e6c2e394915cfe078b9c6f7d1969720628bb2842ba0141b597a7e1565e400b2
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=e0d19ed53fa3f11625b6c4a88a37fd68&sk=20308589
https://s.threatbook.com/report/file/6e6c2e394915cfe078b9c6f7d1969720628bb2842ba0141b597a7e1565e400b2
https://opentip.kaspersky.com/6E6C2E394915CFE078B9C6F7D1969720628BB2842BA0141B597A7E1565E400B2/results?tab=upload

样本（发现提供）
提取码：无，解压码：52pojie

1. https://wwbcf.lanzoul.com/ifxT245w6oah?unzip=52pojie

复制代码

莒县小哥

Morcant

Mcafee scan miss

一只小白泽

avast 扫描miss

jonshiwo

我去 这个厉害了  360 套装全都MISS



360木马查杀扫描日志
开始时间: 2026-9-2 15:26:35
扫描用时: 00:00:01
扫描类型: 自定义扫描
扫描引擎:360云查杀引擎（本地木马库）  360启发式引擎  QEX脚本查杀引擎
             QVM Ⅱ人工智能引擎 鲲鹏引擎  
扫描文件数: 1
系统关键位置文件: 0
系统内存运行模块: 0
压缩包文件: 0
安全的文件数: 1
发现安全威胁: 0
已处理安全威胁: 0


扫描选项
扫描后自动关机: 否
扫描模式: 速度最快
管理员：是


扫描内容
E:\DwnlData\我的下载\ae1e00dcacecfb0f.exe


白名单设置
D:\Battlefield 6 MULTi13\SP\amd_ags_x64.dll 832bb320380ca4c5b83b7bae9cad8662


扫描结果
未发现安全威胁

117054487

https://opentip.kaspersky.com/31 ... 29CEB78CC4DC985200D


ELG未检出

scottxzt

双击运行
攻击面减少
C:\Sandbox\DefaultBox\drive\C\Program Files\Teams Launcher\teams-launcher.exe

星河大帝

avast双击miss

老机子

数字miss 双击后 冰盾拦截无弹窗

c199529

腾讯电脑管家18

不报毒

fdsax

emsi，besti双击miss