好家伙，免费提供Frp，居然有人做挂马网站

城里的月光

今天打开Frp管理后台看一下流量使用情况，发现这个一直在线，好奇打开一看，好家伙，居然搞挂马。。
WRNMMMP

---

网址：（PS：不要随便打开那个网址，别裸奔中招 ）




源代码和释放svchost：



火绒提醒：



操作进程命令行：

1. "C:\Program Files\Google\Chrome\Application\chrome.exe" --type=utility --utility-sub-type=network.mojom.NetworkService --field-trial-handle=2008,5997072188492599094,2688965234388136357,131072 --lang=zh-CN --service-sandbox-type=none --mojo-platform-channel-handle=2168 /prefetch:8

复制代码

释放病毒文件

当svchost.exe启动后会将代码注入到IEXPLORE.EXE进程中，然后遍历全盘并感染EXE、DLL、HTML、HTM文件，用于传播自身。感染逻辑以及运行截图，如下所示：




感染逻辑





······
那么问题来了，我该怎么样抓住这个坏B

HOH

什么年代了  还能让浏览器挂马  反思一下吧

城里的月光

Meocat 发表于 2021-11-22 06:51
坏b

MD，好心好意提供免费frp给大家用，机子闲着也是闲着，发现居然有人搞这个。。。

acg88

你应该等他下次找上门暗地里给他也装个shell，这样就有点无间道互相摆卧底的味道了

addtool

全盘感染和加密的那种，就是畜生干的事情。

diocat

这个世界不存在公益，因为都被人干死了

hins

挂马都是多少年前的事情了 现在居然还有

Slime

城里的月光 发表于 2021-11-22 21:57
不知道，我是用chrome打开的，自动下载。。NND

IE不经过配置都不会下载这个文件，chrome根本不支持VBS，更不可能自动下载，只是杀毒软件检测到网络流量里有病毒而已，给你阻断了，你试试用curl superman.kr.freefrp.club，都是下载完那一长串WriteData，就重置连接了



你发的那个命令行没有问题，正常chrome的命令行就是这么长

城里的月光

youzi 发表于 2021-11-22 23:32
这是你的啊 我还用过

对呀，感觉咋样啊 老板

youzi

这是你的啊 我还用过

呵呵哒

先跑路，这是你的FRP

城里的月光

Slime 发表于 2021-11-22 22:17
特意用XP+IE6打开这个网站，一点反应都没有把IE安全等级调到低终于能下载了，这个文件好像有些问题，无法 ...

不知道，我是用chrome打开的，自动下载。。NND

jamesbonde

经过这么多年，我发现一个真理：千万不要干好事，因为很多人都会剥削别人的善意。

dj215

这不一定是他干的，也可能被挂马了，也可能下载回来就有这个东西~

Slime

特意用XP+IE6打开这个网站，一点反应都没有把IE安全等级调到低终于能下载了，这个文件好像有些问题，无法运行


文件下载https://anonfiles.com/1fc4CdWeua/svchost_exe