腾讯白加黑后门远控 TenioDL.exe，HEUR:Backdoor.MSIL.SheetRat.gen，火绒静态不报

3306-1

来源：https://www.52pojie.cn/thread-2126962-1-1.html
发现：jinwenqing
抄送：@火绒工程师

发现者描述

1. 一个新型专门针对电商的木马病毒，请帮忙分析一些破坏原理

复制代码

文件指纹
19.exe
大小: 429503 字节 : 419 KiB
CRC32: 1383A544
CRC64: 7EA01DBCC06CF992
XXH64: C822844FB9EF9A85
SHA256: 0cab26dcf6535ab4f1ca268347b89cd3dcc069f647bb4ec5a6a1efc364429cc1
SHA3-256: 538423bba490126c4ce900b324432758958858439815358b14010256b208131c

core.dat
大小: 111455 字节 : 108 KiB
CRC32: 97DA488A
CRC64: 85DB031D2D045570
XXH64: D081C631A7B9DFB9
SHA256: 70d1e638c014e4192c226c6bf56ddd4cc2d279601fd020a622213ff1f178bb76
SHA3-256: ba563f430ff6d7f526bd70d995c069c762caf3946410edcdfbfdc00192c9d2fb

TenioDL.exe
大小: 192672 字节 : 188 KiB
CRC32: D34B291C
CRC64: 33675E16AABF750E
XXH64: 2AE9313D83CA6B5D
SHA256: fcbed331413cf92f2944d284bc52e96c08945de239bc92bcb6d2b14f4846128a
SHA3-256: 4db9e9b3af04ff66e179609cb70d2836fa629a89b2eb11255c1586d05b5e9529

TenioDL_core.dll
大小: 88576 字节 : 86 KiB
CRC32: 49B59EE7
CRC64: 4E0DF1A9A995AE37
XXH64: D04477DFD0AFB96A
SHA256: 747e7392a25f5ca1b7e3672bc3ebf3db91a79b938ecb476f347b642a939fc981
SHA3-256: af370689317362bdf40ea18ef32eacb3d42c14a964a4685d7e2e6464c4cbcdcb

火绒扫描（我自己的本地扫描结果）
6.0.11.3 版本
09-07 19:47 病毒库

2026/09/08 19:02:22
病毒防护
病毒查杀
自定义扫描(手动执行)，发现0个风险项目

病毒库时间：2026-09-07 19:47
开始时间：2026-09-08 19:02
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:01
扫描对象：9
扫描文件：1
发现风险：0
已处理风险：0

卡巴病历

1. Trojan.MSIL.Crypt.*b
   
2. Trojan.MSIL.DInvoke.*b
   
3. Backdoor.MSIL.Agent.*b
   
4. Backdoor.MSIL.Crysan.d
   
5. Backdoor.MSIL.Crysan.*b
   
6. Trojan.Win32.Yephiler.lqx
   
7. Backdoor.MSIL.Crysan.nto
   
8. Trojan.Win32.Shellcode.*b
   
9. PDM:Trojan.Win32.Generic
   
10. HEUR:Trojan.MSIL.Agent.gen
    
11. HEUR:Trojan-PSW.MSIL.Agent.gen
    
12. HEUR:Backdoor.MSIL.SheetRat.gen

复制代码

文件属性

1. Zip Sfx Archive  ,
   
2. Overlay :  ZIP archive > Offset : 0000h -  [ Deflated ]
   
3. 
   
4. 调试符号
   
5. C:\x1\TD\ZIP-Pack\bin\Win32\Release\ZIP-Pack-SfxStub.pdb
   
6. 
   
7. 编译时间
   
8. 2026-09-01 02:51:40
   
9. 
   
10. 文件说明
    
11. ZIP-Pack 自解压模块
    
12. 
    
13. 产品名称
    
14. ZIP-Pack Self-Extractor
    
15. 
    
16. 原始文件名
    
17. ZlP-Pack-SfxStub.exe

复制代码

压缩信息

1. SFX ZIP 压缩文件
   
2. 
   
3. SFX 模块大小
   
4. 177,152 字节
   
5. 
   
6. 总文件
   
7. 总大小
   
8. 压缩率
   
9. 打包大小
   
10. 均为零

复制代码

文件属性

1. MS Visual C++ v.9.0 - 2008 (E8) Visual Studio 2008 - no sec. Cab.7z.Zip [Deb. 02]  ,
   
2. Overlay :  Signed
   
3. 
   
4. 调试符号
   
5. e:\temp\vs2008\p2papp\Release_MT\TenioDL.pdb
   
6. 
   
7. 编译时间
   
8. 2018-02-08 16:27:50
   
9. 
   
10. 文件说明
    
11. 腾讯游戏下载引擎
    
12. 
    
13. 类型
    
14. 应用程序
    
15. 
    
16. 文件版本
    
17. 2.0.12.39
    
18. 
    
19. 产品名称
    
20. Tencent TenioDL
    
21. 
    
22. 版权
    
23. Copyright (C)1998-2014 Tencent, All Rights Reserved
    
24. 
    
25. 语言
    
26. 中文(简体，中国)
    
27. 
    
28. 原始文件名
    
29. TenioDL.exe

复制代码

数字签名

1. Tencent Technology(Shenzhen) Company Limited
   
2. 2018-03-21 17:19:55
   
3. Symantec Class 3 SHA256 Code Signing CA 签发
   
4. SHA1＋SHA256 摘要算法，RSA 摘要加密算法
   
5. 证书序列号：0b d5 15 37 03 d8 d5 f8 1f ef 76 19 69 00 9a 14

复制代码

文件属性

1. MS Visual C++ v.7.10 - DLL (55 8B) - 14.44 - Visual Studio 2025  [ WARNING : File use VirtualProtect ]  [ Win Vista ] [Deb. 02]  2026-09-07  , EX : 05 functions
   
2. 
   
3. 调试符号
   
4. C:\Users\Administrator\Desktop\bypassbot\server\builds\sl_7757956761_1788756565671\Release\TenioDL_core.pdb
   
5. 
   
6. 编译时间
   
7. 2026-09-07 12:49:27
   
8. 
   
9. 类型
   
10. 应用程序扩展
    
11. 
    
12. 版权
    
13. 语言
    
14. 文件说明
    
15. 文件版本
    
16. 产品名称
    
17. 均空
    
18. 
    
19. 导出表
    
20. ?nTenioDL_coredll@@3HA
    
21. ?TenioDL_Release@@YAHXZ
    
22. ?TenioDL_Initialize@@YAHXZ
    
23. ??0CTenioDL_coredll@@QAE@XZ
    
24. ??4CTenioDL_coredll@@QAEAAV0@ABV0@@Z

复制代码

释放文件

1. C:\Windows\appcompat\core.dat
   
2. C:\Windows\appcompat\TenioDL.exe
   
3. C:\Windows\appcompat\TenioDL_core.dll

复制代码

白加黑链

1. TenioDL.exe＞TenioDL_core.dll

复制代码

远控回传

1. 110[.]42[.]6[.]163:8848 / TCP

复制代码

样本情况
https://virusscan.jotti.org/zh-CN/filescanjob/lvqwkvd7bp
https://tix.qq.com/search/single?keyword=9bf53c649d00c7bfc9dbe99c7071e618
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AaCAszy83vNfIaDFL2Uo
https://www.maldun.com/analysis/YXNkZmRzZmFkc2YxMzM3MTQ0ZHNmYXNkZmFzZGY=/
https://sandbox.dbappsecurity.com.cn/report/010947e0-5380-4998-a106-cc362e1987a8/flat
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=9bf53c649d00c7bfc9dbe99c7071e618
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=9bf53c649d00c7bfc9dbe99c7071e618
https://www.virscan.org/report/0cab26dcf6535ab4f1ca268347b89cd3dcc069f647bb4ec5a6a1efc364429cc1
https://www.virustotal.com/gui/file/0cab26dcf6535ab4f1ca268347b89cd3dcc069f647bb4ec5a6a1efc364429cc1
https://s.threatbook.com/report/file/0cab26dcf6535ab4f1ca268347b89cd3dcc069f647bb4ec5a6a1efc364429cc1
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=860a7bd3e4106e731e2c188b56e21d86&sk=47436795
https://opentip.kaspersky.com/0CAB26DCF6535AB4F1CA268347B89CD3DCC069F647BB4EC5A6A1EFC364429CC1/results?tab=upload

样本（自解诱导）
提取码：无，解压码：infected

1. http://4275.com/0pd5zb?unzip=infected

复制代码

星河大帝

MD smartscreen阻止运行

GDHJDSYDH

WD扫描miss，沙盒运行冰盾+HMPA拦截

吃瓜群众第123位

趋势科技云端版 miss

lsop1349987

avast
Avira 拦截自启添加 将自解压文件添加排除后运行miss衍生物

fdsax

emsi双击miss，best双击atc

scottxzt

监控

莒县小哥

心醉咖啡

360

tihs

ESET