1a512

显示全部楼层 · 发表于 2012-5-3 10:46:47

本帖最后由 jayavira 于 2012-5-3 10:50 编辑

质量非常不错
目前只有咖啡和护士才可以查杀

https://www.virustotal.com/file/ ... 3a47ec789/analysis/

显示全部楼层 · 发表于 2012-5-3 10:52:41

A2+BD扫描MISS

显示全部楼层 · 发表于 2012-5-3 10:56:09

显示全部楼层 · 发表于 2012-5-3 10:56:59

红伞miss，to

显示全部楼层 · 发表于 2012-5-3 10:58:38

本帖最后由雨中楼于 2012-5-3 11:09 编辑

好像样本区以前出现这过样的样本吧，锁定鼠标！

05/03/2012 11:02:51 c:\documents and settings\administrator\桌面\test\1a512.exe 创建新进程 c:\documents and settings\administrator\桌面\test\1a512.exe 允许 [应用程序组]Setup/Test -> [应用程序]c:\documents and settings\*\桌面\test\* 命令行: "C:\Documents and Settings\Administrator\桌面\test\1a512.exe"

05/03/2012 11:02:52 c:\documents and settings\administrator\桌面\test\1a512.exe 修改文件 \Device\NamedPipe\lsarpc 阻止 [应用程序组]Setup/Test -> [应用程序]c:\documents and settings\*\桌面\test\* -> [文件]\device\namedpipe\*

干掉桌面
05/03/2012 11:02:52 c:\documents and settings\administrator\桌面\test\1a512.exe 创建新进程 c:\windows\system32\taskkill.exe 阻止 [应用程序组]Setup/Test -> [应用程序]c:\documents and settings\*\桌面\test\* -> [子应用程序]SystemDanger -> [应用程序]*\taskkill.exe 命令行: taskkill /F /IM explorer.exe

05/03/2012 11:02:52 c:\documents and settings\administrator\桌面\test\1a512.exe 安装全局消息钩子 c:\documents and settings\administrator\桌面\test\1a512.exe 阻止 [应用程序组]Setup/Test -> [应用程序]c:\documents and settings\*\桌面\test\* -> [钩子模块]* 钩子类型: WH_KEYBOARD

自动运行
05/03/2012 11:02:52 c:\documents and settings\administrator\桌面\test\1a512.exe 修改注册表值 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\S91138114 阻止 [应用程序组]Setup/Test -> [应用程序]c:\documents and settings\*\桌面\test\* -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\* 值: C:\Documents and Settings\Administrator\桌面\test\1a512.exe

自动运行
05/03/2012 11:02:52 c:\documents and settings\administrator\桌面\test\1a512.exe 修改注册表值 HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell 阻止 [应用程序组]Setup/Test -> [应用程序]c:\documents and settings\*\桌面\test\* -> [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon; Shell 值: C:\Documents and Settings\Administrator\桌面\test\1a512.exe

显示全部楼层 · 发表于 2012-5-3 11:00:55

大蜘蛛Clean，已上报！

显示全部楼层 · 发表于 2012-5-3 11:01:22

本帖最后由 wjcharles 于 2012-5-3 11:04 编辑

NIS2012 下载分析kill

完整路径: c:\users\sshss\downloads\1a512\1a512.exe
威胁: WS.Reputation.1
____________________________
____________________________
在电脑上的创建时间不可用
上次使用时间 2012/5/3 ( 11:00:55 )
启动项目否
已启动否
____________________________
____________________________
未知
诺顿社区中使用此文件的用户数量: 未知
____________________________
未知
此文件版本当前未知。
____________________________
中
此文件具有中等程度风险。
____________________________
威胁详细信息
威胁类型: 智能网络威胁。很多迹象表明此文件不可信任，不安全
____________________________
http://bbs.kafan.cn/forum.php?mo ... DQ4OTAzN3wxMjgwNDU4 已下载文件1a512.exe
威胁名称:
WS.Reputation.1自
bbs.kafan.cn
____________________________
文件操作
文件: c:\users\sshss\downloads\1a512\1a512.exe
已删除
____________________________
文件指纹 - SHA:
1da4a794d163ff2f25fdceb4b15ef4651b24c3093ff17b999a1ced53a47ec789
____________________________
文件指纹 - MD5:
48c2c28c18b3944adf3f050ca50522b3
____________________________

绕过下载分析，双击sonar kill

完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间 2012/5/3 ( 11:02:01 )
上次使用时间 2012/5/3 ( 11:02:01 )
启动项目否
已启动是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

源文件:
winrar.exe

创建的文件:
1a512.exe
____________________________
文件操作
文件: c:\users\sshss\downloads\1a5121\1a512.exe
已删除
事件: 正在运行进程: c:\users\sshss\downloads\1a5121\1a512.exe
已终止
____________________________
系统设置操作
事件: 进程启动 (执行者 c:\users\sshss\downloads\1a5121\1a512.exe, PID:10292)
未采取操作
____________________________
可疑操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\sshss\downloads\1a5121\1a512.exe, PID:10292)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

显示全部楼层 · 发表于 2012-5-3 11:02:29

本帖最后由 liulangzhecgr 于 2012-5-3 11:07 编辑

00315 发表于 2012-5-3 10:56

毒霸威武啦！

显示全部楼层 · 发表于 2012-5-3 11:05:11

卡巴 miss to~

自动模式下卡巴双击屏幕被锁交互模式下拦截

显示全部楼层 · 发表于 2012-5-3 11:11:49

lbb9432 发表于 2012-5-3 11:05
卡巴 miss to~

自动模式下卡巴双击屏幕被锁交互模式下拦截

winlock，BD AVC不弹窗拦截

[病毒样本] 1a512

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源