收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › fakeAPP#远控1X
返回列表 发新帖
查看: 970|回复: 9
收起左侧

[病毒样本] fakeAPP#远控1X

[复制链接]
啊松
发表于 2026-9-20 00:53:00 | 显示全部楼层 |阅读模式
https://bbs.huorong.cn/thread-164551-1-1.html→→→https://935web.cdn-dinding.com.cn/


利用合法远控自启动入侵
不知道牢卡能不能拦。虚拟机直接运行不了



https://wwbsm.lanzoub.com/iS5QJ4956t8h


回复

举报

TPFan
发表于 2026-9-20 01:46:02 | 显示全部楼层
实体机卡巴扫描不报，BD删衍生物

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

心醉咖啡
发表于 2026-9-20 08:22:40 | 显示全部楼层
360

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

pzacker
发表于 2026-9-20 08:52:43 | 显示全部楼层
结果文件

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

莒县小哥
发表于 2026-9-20 09:11:52 | 显示全部楼层

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

3306-1
发表于 2026-9-20 10:25:36 | 显示全部楼层
外壳钓鱼
域　名　cdn-dinding[.]com[.]cn
注册商　万商云集（成都）科技股份有限公司
注册人　郭56iz5qWg
邮　箱　a2ZoOGg1QHNpbmEuY29t
注册日　2026-09-17 13:00:02 UTC+8
过期日　2027-09-17 13:00:02 UTC+8
状　态　正常
DNS　　ns1[.]kenpains[.]com
　　　　ns2[.]kenpains[.]com
DNSSEC　未配置

文件指纹
Ding_dingtalk-Setup.exe
大小: 26562048 字节 : 25 MiB
CRC32: 1571A238
XXH64: 0B2588DC3FB6E1FD
SHA256: 4671594849d28dea9fd834ee2fd67675d16e71d71a6d509a31c352a75bb0025a
SHA3-256: 28787a46e6c95a65eb03d33222f78dc44a097c063175e76b546f0a17e1f5c135

cfg.ini
大小: 171 字节
CRC32: 192724B2
XXH64: 47F259A17716D0F5
SHA256: 8febb37d576e226ec239565f044811e0d05e4bd4983fded0de101757c52ad3ae
SHA3-256: 0e34ffa54e62b984f7aeb67ef576af859925c697aa821f806ea032039eca0b90

host.dat
大小: 130 字节
CRC32: 252A286B
XXH64: 0F50CFE4E5E23C44
SHA256: 7637be40c6740896e9705103425316078ec56178771e295ed416ef12bf1f3897
SHA3-256: f4cce283375c7896f866603e7e68388d5c41280c524a837f23b78708c789cfe7

rdclient.exe
大小: 25379840 字节 : 24 MiB
CRC32: 8D70C22B
XXH64: CE3A913E1EF383CC
SHA256: fbd1c4542c3e7dff95e72733a16815e457cb437e06991f21fb09bf7271ace8ac
SHA3-256: 3c5f817b23dbc41242a6b340cc2e5fde7622414b16a5e6781922289ec7290509

rdservice.exe
大小: 2637128 字节 : 2575 KiB
CRC32: C41000B0
XXH64: FD2E533F1B90EB50
SHA256: 7ed2a077a1ce34fcb182e5135ae75ad7bd96207c3204c9f343095f967bfa109f
SHA3-256: 9cfe6cab29d827a06c6dee0eab1657ddb06a83a9abf698ece9d0e09dd2df4149

libcap.dll
字节 : 33.81 MB
SHA256: 7dc4f32510fd2820bd3e450810277c624cd40f514115daa4710448c642cf8b80

libnet.dll
字节 : 12.49 MB
SHA256: 0c9d61c9d8a857f7c286846ca9f13b0e47bb09aa6d33962131188f5ea2f9a4bc

火绒扫描（我自己的本地扫描结果）
6.0.12.1 版本
09-19 19:44 病毒库

2026/09/20 08:53:01
病毒防护
文件实时监控
发现病毒TrojanDropper/Agent.ace, 已处理

病毒名称：TrojanDropper/Agent.ace
病毒ID：EA8799D569DDE394
病毒路径：Ding_dingtalk-Setup.exe
操作类型：修改
操作结果：已处理，删除文件

2026/09/20 08:56:55
病毒防护
病毒查杀
自定义扫描(手动执行)，发现2个风险项目

病毒库时间：2026-09-19 19:44
开始时间：2026-09-20 08:56
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:07
总计用时：00:00:07
扫描对象：129
扫描文件：5
发现风险：2
已处理风险：2
病毒详情：

风险路径：Ding_dingtalk-Setup.exe
病毒名：TrojanDropper/Agent.ace
病毒ID：EA8799D569DDE394
处理结果：已处理，删除文件

风险路径：host.dat
病毒名：Trojan/Generic!BB840B780AD05675
病毒ID：BB840B780AD05675
处理结果：已处理，删除文件

腾讯分发
  1. https://qiyewei.tos-cn-beijing.volces.com/Ding_dingtalk-Setup.zip

  3. {
  4.   "Code": "AccountDisable",
  5.   "RequestId": "bd2607af2db467646aaf2db4-b5f6aaa-1x85ki-GO-cb-tos-1az-front-azc-2",
  6.   "HostId": "qIETTSsCOmTDMvFlANWrpuAzfSRHUKsE",
  7.   "Message": "The account is indebted overdue.",
  8.   "EC": "0003-00000024",
  9.   "AccountId": "2130136425",
  10.   "Bucket": ""
  11. }
复制代码
参考目录
  1. Ding_dingtalk-Setup.exe\.rsrc\FILE\
  2. 　　├── CFGINI
  3. 　　├── HOSTDAT
  4. 　　├── RDCLIENT
  5. 　　└── RDSERVICE

  7. RDCLIENT
  8. 　　├── LIBNETDLL
  9. 　　└── LIBCAPDLL
复制代码
文件属性
  1. PEcompact v.2.78a - 3.11.00  - www.bitsum.com ( aPlib/Lzma ) ,
  2. Overlay :  Signed

  4. 调试符号
  5. 暂无

  7. 编译时间
  8. 2026-09-02 11:37:18

  10. 文件说明
  11. Host Service Installer

  13. 类型
  14. 应用程序

  16. 文件版本
  17. 7.0.1.0

  19. 产品名称
  20. Host Manager Tool

  22. 版权
  23. Copyright 2026

  25. 语言
  26. 英语(美国)

  28. 原始文件名
  29. loader.exe

  31. 数字签名
  32. Wei Liu
  33. ‎2026‎-09‎-‎02‎ 13:59:54
  34. Certum Code Signing 2021 CA 签发
  35. SHA1＋SHA256 摘要算法，RSA 摘要加密算法
  36. 证书序列号：66 6b 91 4a 0e 24 db e5 77 5b 9a 69 a3 fb 7c fb
复制代码
  1. PEcompact v.2.78a - 3.11.00  - www.bitsum.com ( aPlib/Lzma ) ,
  2. Overlay :  Signed

  4. 调试符号
  5. 暂无

  7. 编译时间
  8. 2026-07-20 16:58:24

  10. 类型
  11. 应用程序

  13. 文件说明
  14. 文件版本
  15. 产品名称
  16. 版权
  17. 语言
  18. 均为空

  20. 区段
  21. .text
  22. 　EP = 9DD188
  23. .rsrc
  24. .reloc
  25. 叠加层

  27. 数字签名
  28. Wei Liu
  29. ‎2026‎-09‎-‎02‎ 13:59:54
  30. Certum Code Signing 2021 CA 签发
  31. SHA1＋SHA256 摘要算法，RSA 摘要加密算法
  32. 证书序列号：66 6b 91 4a 0e 24 db e5 77 5b 9a 69 a3 fb 7c fb
复制代码
  1. Delphi v12 Yukon / RAD Athens [ Embarcadero Delphi for Win32 compiler version 36.0 (29.0.51961.7529) ]  - EXE ,
  2. Overlay :  Signed

  4. 调试符号
  5. 暂无

  7. 编译时间
  8. 2024-04-26 15:49:49

  10. 类型
  11. 应用程序

  13. 文件版本
  14. 6.6.8.0

  16. 产品名称
  17. RdViewer 服务程序

  19. 语言
  20. 英语(美国)

  22. 原始文件名
  23. rdservice.exe

  25. 数字签名
  26. 济南快安网络科技有限公司
  27. ‎2024‎-‎04‎-‎26‎ 15:50:31
  28. WoTrus Code Signing 2021 CA 签发
  29. SHA256 摘要算法，RSA 摘要加密算法
  30. 证书序列号：08 9e 5e 34 8c 9b 94 c0 91 39 85 95 73 0d 4f 33

  32. 客户端壳整性检测
  33. ---------------------------
  34. rdservice
  35. ---------------------------
  36. 客户端文件校验成功1
  37. ---------------------------
  38. 确定   
  39. ---------------------------

  41. 资源参考
  42. /*
  43. *  Copyright (c) 2014 The WebRTC project authors. All Rights Reserved.
  44. *
  45. *  Use of this source code is governed by a BSD-style license
  46. *  that can be found in the LICENSE file in the root of the source
  47. *  tree.
  48. */

  50. /**
  51. * eventsource.js
  52. * Available under MIT License (MIT)
  53. * https://github.com/Yaffle/EventSource/
  54. */

  56. /*!
  57. **************************************************************************
  58. sgcWebSocket component

  60. written by eSeGeCe
  61.             copyright © 2023
  62.             Email : info@esegece.com
  63.             Web : http://www.esegece.com
  64. **************************************************************************
  65. */

  67. "use strict";
  68. // Last time updated: 2019-06-15 4:26:11 PM UTC
  69. // _________________________
  70. // RTCMultiConnection v3.6.9
  71. // Open-Sourced: https://github.com/muaz-khan/RTCMultiConnection
  72. // --------------------------------------------------
  73. // Muaz Khan     - www.MuazKhan.com
  74. // MIT License   - www.WebRTC-Experiment.com/licence
  75. // --------------------------------------------------

  77. <!DOCTYPE html>
  78. <html>
  79. <head>
  80. <meta charset="utf-8" />
  81. <title>sgcWebSockets - Protocol: dataset.esegece.com</title>
  82. <script type="text/javascript" src="http{%ssl%}://{%host%}:{%port%}/sgcWebSockets.js"></script>
  83. <script type="text/javascript" src="http{%ssl%}://{%host%}:{%port%}/dataset.esegece.com.js"></script>
  84. <style>
  85. .....
  86. </style>
  87. </head>
  88. <body>
  89. <h1>sgcWebSockets</h1>
  90. <h3>dataset.segece.com</h3>
  91. .....
  92.                         <a href="
  93.                         javascript:var socket = new sgcws_dataset('ws{%ssl%}://{%host%}:{%port%}');
  94. .....
  95.                         ">Open</a>
  96. .....

  98. <!DOCTYPE html>
  99. <html lang="en" dir="ltr">
  100. <head>
  101.   <meta charset="utf-8">
  102.   <title>Audio Conferencing using RTCMultiConnection</title>
  103.   <meta name="viewport" content="width=device-width, initial-scale=1.0, minimum-scale=1.0">
  104.   <link rel="stylesheet" href="sgcRTCMultiConnection.css">
  105. </head>
  106. .....

  108. <!DOCTYPE html>
  109. <html lang="en" dir="ltr">
  110. <head>
  111.   <meta charset="utf-8">
  112.   <title>Screen Sharing using RTCMultiConnection</title>
  113.   <meta name="viewport" content="width=device-width, initial-scale=1.0, minimum-scale=1.0">
  114.   <link rel="stylesheet" href="sgcRTCMultiConnection.css">
  115. </head>
  116. .....

  118. <title>Video OneWay Broadcasting using RTCMultiConnection</title>
  119. <title>Video Conferencing using RTCMultiConnection</title>
  120. <title>sgcWebSockets - Protocol: dataset.esegece.com</title>

复制代码
配置预览
  1. cfg.ini
  2. [Main]
  3. Self=8/eUmX00+808n87LFKSyLplvqGxh6Xt6FHnyzReVX2M=
  4. SCRINFO=
  5. User=GJqug6d/cMPtDQ3+OgovuA==
  6. UUID=VFPd15lSsXVToPVCrpQyfsIgpXAuSGY83+DKnfR5cedzDHuwXCAn2+suuVVURjvr

  8. host.dat
  9. [Main]
  10. host=R01GYYtxXwZPQuIbGRn4HOMDq9Uv9Co81PxqRLVe1qUT+Lk8mhNC30H3dPRL8AVB
  11. mark=siYcX4xEBN3ewvTAV7FtUbLmpWTWp83mcLY8hxT2u44=
复制代码
释放文件
  1. \Logs
  2. \libcap.dll
  3. \libnet.dll
复制代码
清空证缓
  1. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates\5A315378AE4B601E38BFBECF9095FE0C85588CBC
复制代码
注册证书
  1. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates\5A315378AE4B601E38BFBECF9095FE0C85588CBC\Blob
复制代码
修改提示
  1. ＵＡＣ
  2. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\PromptOnSecureDesktop
复制代码
联网去向
  1. 未明确捕捉到
复制代码

外壳钓鱼
https://s.threatbook.com/report/url/3a2605c7bfa8805ab56321ac52a5a88c

腾讯分发
https://s.threatbook.com/report/url/47486d2d48dbbc8385abf9ed8f596d02

样本情况
https://ata.360.net/report/868597858170880
https://virusscan.jotti.org/zh-CN/filescanjob/j3iey6u0zr
https://tix.qq.com/search/single?keyword=e2979d5e5c9fb211923ac4e5e2ebc6e8
https://www.maldun.com/analysis/YXNkZmRzZmFkc2YxMzcxNDA5ZHNmYXNkZmFzZGY=/
https://sandbox.dbappsecurity.com.cn/report/58d8a96e-6adf-4b61-882f-ed29d2d5f12a/flat
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=e2979d5e5c9fb211923ac4e5e2ebc6e8
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AaC8dRZnmTITNisASMqW
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=e2979d5e5c9fb211923ac4e5e2ebc6e8
https://metadefender.com/results/file/bzI2MDkyME5xcW9ybi1vZlNNMUxzdDdhMURM_mdaas/overview
https://www.virscan.org/report/7e19bc2370dfff13f65f07d0f153b3db7c9ed99dc239556d0a19d06f5caf0326
https://www.virustotal.com/gui/file/7e19bc2370dfff13f65f07d0f153b3db7c9ed99dc239556d0a19d06f5caf0326
https://s.threatbook.com/report/file/7e19bc2370dfff13f65f07d0f153b3db7c9ed99dc239556d0a19d06f5caf0326
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=7cd7a33c0b04a3fbdfd4f5113687d68b&sk=18342012
https://opentip.kaspersky.com/7E19BC2370DFFF13F65F07D0F153B3DB7C9ED99DC239556D0A19D06F5CAF0326/results?tab=upload
回复

举报

嘿嘿不能说
发表于 2026-9-20 13:14:17 | 显示全部楼层
2026-09-20 13:10:16  C:\Users\123aaa\Desktop\Ding_dingtalk-Setup\Ding_dingtalk-Setup\Ding_dingtalk-Setup.exe  Spyware.Grandoreiro!8.F2CC  清除  C:\Program Files\Bandizip\Bandizip.exe  
回复

举报

fengxuanzs
发表于 2026-9-20 16:17:52 | 显示全部楼层
Norton
威胁名称: Win32:Malware-gen
状态: 已移到 隔离区
检测程序: 自动防护
启动项: 否
Norton 社区中使用了此文件的用户数未知。
极新
此文件已于 8 小时前 发行。
高
此文件具有高风险。
____________________________

活动
路径 | 类型 | 状态
C:\Users\AppData\Local\Temp\BNZ.6aaf963d2c0f4\Ding_dingtalk-Setup\Ding_dingtalk-Setup.exe | 文件 | 已修复
回复

举报

Morcant
发表于 2026-9-21 11:14:42 | 显示全部楼层
Mcafee

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

c199529
发表于 2026-9-22 00:43:51 | 显示全部楼层
腾讯电脑管家18

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2026-10-20 05:44 , Processed in 0.083844 second(s), 4 queries , Redis On.

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表