收到未知邮件别乱打开，小心中病毒，曝光这家公司

[kangod]

2023 年 11 月 24 日收到一封邮件，我是公司法人，点开看看发票不过分吧？（虽然我从来不管公司的业务） 第一次在 V 站发贴，不知道怎么发图，我发文字算了。

收到邮箱如下：

flourishingmax11 发给 yxxxxx     2023-11-24 09:35 
发件人请求阅读收条，您愿意发送收条吗？ <button>发送</button> 
购方名称： 北京 xxxx 信息技术有限公司
开票日期：2023-11-23
发票代码：033022200111
开票金额：978.00 元
发票号码：30297846
发票 PDF：下载发票

点击下载发票，跳转到了一个页面，是一个存储到 QQ 邮箱中转站的 zip 文件，打开 zip 里面是一个chm 文件，点击打开没什么反应，就是屏幕闪烁了一下。我看没什么作用，还手贱多点了几次，还是没什么东西出来，我就没管了。

今天突然发现笔记本电脑摄像头自动打开了，然后我就打开 windows 相机隐私设置，发现有一个应用打开了我的摄像头，是一个svchost.exe文件，鼠标移动到文件上面，还出现了公司信息：杭州诸相网络科技有限公司。

我 google 之后发现这家公司有很大的问题，一份浙江省通信管理局通报存在问题的应用软件名单：

序号	应用名称	应用开发者	应用来源	应用版本	所涉问题
50	虚贝租号	杭州诸相网络科技有限公司	应用宝	2.9.0	违规收集个人信息

还有一则新闻：

近日，家住广州的陈先生向南都记者报料，其 14 岁的孩子近期多次通过“虚贝租号”网站，购买已完成人脸识别的游戏账号，借此绕开防沉迷系统。“虽然每次金额不大，但隔三差五在学习时间花一、两个小时玩游戏，是否会对孩子的学习及身心健康造成影响？”陈先生向南都记者表达了担忧。

这家公司在做什么事情，不用我多说了吧，请大家避雷。

svchost.exe 文件正常是删不掉，系统提示被占用不能删，我进 PE 系统把它删掉了已经，过几天看看还有没有问题吧

[www5070504]

重做系统也记得硬盘重新分区一下

[Giftina]

这是经典的 c&c 远控，chm 里嵌 js ，拉起 PowerShell 关闭.net 安全校验，.net 下载白 dll 和黑负载，白加黑绕过杀软最终加载进系统潜伏，拉屎还是偷鸡摸狗就看控制者的玩法了，看网上说基本上是当大批量肉鸡卖，中招了如果没有备份一般建议是直接重装

[Promtheus]

长知识了。

[pkoukk]

我 2006 年第一次中毒被盗号，就是收到了同学发给我的 chm ，说这本书很好看，点开闪了一下就没了
没想到 2023 年还能看到文艺复兴

[OwenY]

@dsb2468 #33 我去，老哥，点开这个链接不会出什么问题吧，点开鼠标开始转圈了

[Heimo]

文件已过期或已被删除

[dsb2468]

@OwenY 不会，那个只是阿里的 OSS 存储服务，单纯访问是安全的。目前小黑客已经把配置文件下线了。

[sssbbb]

看描述是银狐木马，最近特别流行，下载器使用白加黑，木马程序也是白加黑，杀软基本没用，主要靠 IP 或者域名情报监测，传播方式主要为邮件或者微信群钓鱼，你遇到到的是最典型的发票邮件钓鱼。检查一下 C:\Users\Public\Downloads 下有没有蓝色小马图标 exe

[keymao]

重要资产竟然连 defender 都禁用。。 这不是又菜又爱玩么。。。 上网习惯良好不代表不会掉坑里。 本站还有很多类似把 update 和 defender 都禁用，但是又什么都不安装的裸奔人士， 做黑产的可太喜欢这些人了，免杀都省的做了。

[uni]

哈哈哈抱歉楼主，想到这病毒搞这么一大圈就为了刷你的脸给小学生玩游戏，这我有点被笑道

[Ashore]

@justxiaoxiao 原来是这样，我说怎么看着有点眼熟

[t133]

开了 UAC 吗 还是提权你给同意了？
没触发 UAC 的话有点厉害的

[sloknyyz]

@t133 Windows 绕 uac 不要太简单。op 也是 nb ，不明白的发件人发的东西都敢点，敢下载，敢执行。不中招都不行了。

[onice]

op 厉害了，电脑不安装任何安全软件，，还是公司法人。

就不怕公司机密泄露么。老牌安全软件 nod32 淘宝蓝蝶买正版八九多就能用三年。卡巴斯基一百多也能用三年。

幸好数据没被加密。不然就只能等着交赎金。

[FreeWong]

@lambdaq 真的感激，可以避免别人掉坑里

[cxy2244186975]

chm 、我当时就笑了/

[cxy2244186975]

@sleepingdog 看到这里绷不住了/hh