VT Detection ratio: 9 / 46 wgsdgsdgdsgsd.exe

显示全部楼层 · 发表于 2013-1-19 22:19:54

https://www.virustotal.com/file/ ... nalysis/1358605004/

2013-01-19 22:15:39 C:\Users\Firefox3\wgsdgsdgdsgsd.exe 访问内存 C:\Windows\explorer.exe
2013-01-19 22:15:39 C:\Users\Firefox3\wgsdgsdgdsgsd.exe 修改文件 C:\$Recycle.Bin\S-1-5-21-4011447912-2747632329-2706482482-1000\$8afaebc7143eda5186b77f90d0ea2a8f
2013-01-19 22:15:39 C:\Users\Firefox3\wgsdgsdgdsgsd.exe 访问COM接口 LocalSecurityAuthority.Tcb
2013-01-19 22:15:39 C:\Windows\SysWOW64\cmd.exe 修改文件 C:\Users\Firefox3\wgsdgsdgdsgsd.exe
2013-01-19 22:15:33 C:\Windows\system32\cmd.exe Sandbox中运行 Partially Limited
2013-01-19 22:15:29 C:\Program Files (x86)\Java\jre7\bin\java.exe 创建进程 C:\Users\Firefox3\wgsdgsdgdsgsd.exe
2013-01-19 22:15:04 C:\Program Files (x86)\Java\jre7\bin\java.exe 创建进程 C:\Users\Firefox3\wgsdgsdgdsgsd.exe
2013-01-19 22:15:03 C:\Users\Firefox3\wgsdgsdgdsgsd.exe Sandbox中运行 Partially Limited

显示全部楼层 · 发表于 2013-1-19 22:41:32

2013-01-19 22:43:19 创建远程线程    操作:阻止
进程路径:F:\virus\wgsdgsdgdsgsd\wgsdgsdgdsgsd.exe
目标进程:C:\WINDOWS\explorer.exe
触发规则:所有程序规则->*

2013-01-19 22:43:21 创建文件    操作:阻止
进程路径:F:\virus\wgsdgsdgdsgsd\wgsdgsdgdsgsd.exe
文件路径:C:\RECYCLER\S-1-5-21-1390067357-1647877149-682003330-500\$d65b69d421253f640905046a499330fa
触发规则:应用程序规则->回收站->?:\*->*\RECYCLER\*\$*

2013-01-19 22:43:21 删除注册表    操作:允许
进程路径:F:\virus\wgsdgsdgdsgsd\wgsdgsdgdsgsd.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
注册表名称:Windows Defender
触发规则:所有程序规则->自动运行->*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

2013-01-19 22:43:22 创建文件    操作:阻止
进程路径:F:\virus\wgsdgsdgdsgsd\wgsdgsdgdsgsd.exe
文件路径:C:\RECYCLER\S-1-5-18\$d65b69d421253f640905046a499330fa
触发规则:应用程序规则->回收站->?:\*->*\RECYCLER\*\$*

2013-01-19 22:43:24 运行应用程序    操作:允许
进程路径:F:\virus\wgsdgsdgdsgsd\wgsdgsdgdsgsd.exe
文件路径:C:\WINDOWS\system32\cmd.exe
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe

2013-01-19 22:43:27 删除文件    操作:允许
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:F:\virus\wgsdgsdgdsgsd\wgsdgsdgdsgsd.exe
触发规则:应用程序规则->CMD设置->%windir%\system32\cmd.exe->?:\*

显示全部楼层 · 发表于 2013-1-19 22:44:43

毒霸kill

显示全部楼层 · 发表于 2013-1-19 23:01:48

本帖最后由 avoyoo 于 2013-1-19 23:04 编辑

前期注入explorer，联网，隐藏释放文件（在c盘回收站路径，又遇见了，啊哈，转角遇到爱......）；
中途持续几次联网（和第一步同IP），并会持续几次的注入explorer（explorer老婆，多亲密几次吧...plapla）；
随后修改注册表，包括删除WD、删除防火墙部分服务相关等，再次释放（C盘回收站目录，不过和上面不同）；
注入services.exe，随后就是利用services.exe持续向几IP的16464端口send信息，数据统一为：

00000000: 2A 09 91 5E 28 94 8D AB C9 C0 D1 99 EC 14 DF F6 ; *..^(...........

显示全部楼层 · 发表于 2013-1-19 23:22:52

avoyoo 发表于 2013-1-19 23:01
前期注入explorer，联网，隐藏释放文件（在c盘回收站路径，又遇见了，啊哈，转角遇到爱......）；
中途持续 ...

牛人啊膜拜

看看这个呗 http://bbs.kafan.cn/thread-1452782-1-1.html

显示全部楼层 · 发表于 2013-1-19 23:27:25

avoyoo 发表于 2013-1-19 23:01
前期注入explorer，联网，隐藏释放文件（在c盘回收站路径，又遇见了，啊哈，转角遇到爱......）；
中途持续 ...

动作多,主防的最爱啊

NIS2013

完整路径: 不可用
威胁: SONAR.Heuristic
____________________________
____________________________

在电脑上的创建时间 
2013/1/19 ( 23:21:27 )

上次使用时间 
2013/1/19 ( 23:21:27 )

启动项目 
否

已启动 
是

____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
极新的文件
该文件已在不到 1 周前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

file origin tree



winrar.exe

wgsdgsdgdsgsd.exe

____________________________
文件操作
wgsdgsdgdsgsd.exe
已删除
____________________________
系统设置操作
未采取操作
wgsdgsdgdsgsd.exe
未采取操作
____________________________
可疑操作
未采取操作

平均资源使用率:
低

平均CPU 使用率:
低

平均内存使用率:
低

____________________________
文件指纹 - SHA:
a077960933b0fd7b13d9c50b174be3b7e10d174ee7ad28e5c76ddfa795bfe4b7
____________________________
文件指纹 - MD5:
766c8657b226fe7cb75ce3a71094f689
____________________________

显示全部楼层 · 发表于 2013-1-19 23:43:43

数字 miss
双击没反应

显示全部楼层 · 发表于 2013-1-20 09:22:57

Bitdefender

显示全部楼层 · 发表于 2013-1-20 13:03:58

趋势科技,未经授权的更改
名称: wgsdgsdgdsgsd.exe
检测到的资源或进程 ID:ZwWriteVirtualMemory
处理措施: 已终止

[可疑文件] VT Detection ratio: 9 / 46 wgsdgsdgdsgsd.exe

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源