VT Detection ratio: 2 / 45 3813343.exe

墨家小子

https://www.virustotal.com/en/fi ... nalysis/1367548191/

fireold

Bitdefender Windows 8 Security 雙擊攔截

fireold

GD 2014

*** Process ***

Process: 2872
File name: 3813343.exe
Path: c:\users\abc\appdata\local\temp\temp1_3813343.zip\3813343.exe

Publisher: Unknown publisher
Creation date: 05/03/13 02:29:20
Modification date: 05/03/13 02:42:16

Started by: explorer.exe
Publisher: Microsoft Windows


*** Actions ***

The program establishes a network connection.
The program has created or manipulated an executable file.


*** Quarantine ***

The following files were moved into quarantine:
C:\Users\abc\AppData\Local\Temp\Temp1_3813343.zip\3813343.exe
C:\Users\abc\AppData\Local\Temp\msimg32.dll

The following registry entries were deleted:


YGLh35LHwHJyYmJyctBywnKCcqLgcnKLcqItJ2cLp0InJ3RyYmJwKycnJycmBshycnJyYmKQKxb+LXgK6XLyLyYmJ/+gKCcnJiYnB5py4mJicuKgLCeXYmJycgnacnIrJy8nDJtyomJicqKwLScoJycnB6xyknKCcnLALicnJiYnB/xyknKCcnLQJicrJygnCY1ycicmJid30C4nKCYmJwhucoLwKCcnJycmBocmJycmJicHhyknJyYmJweHKycsJygnCoctJycmJicHly4nKCYmJwiXLycqJiYnCqcnJwinKxq6NWYqLxedNWYrJxq6NWYqDqctJykmJicJtycnJyYmJwe3LScnJycmBrcvJyknKCcHxy4nKCYmJwjHLyd3KiYmJ3cK1yknKycoJwnnKCdoDgA
Rules version: 4.0.10
OS: Windows 6.1 Service Pack 1.0 Build: 7601 - Workstation 32bit OS
dll version: 30732

"C:\Users\abc\AppData\Local\Temp\Temp1_3813343.zip\3813343.exe"
C:\Windows\Explorer.EXE

释然的心

保证您的安全，将不会访问此网页
在请求的页面的 HTTP 数据中发现病毒或恶意程序。
请求的 URL：https://att.kafan.cn/forum.php?mo ... DU0ODQwMnwxNTYxNjkx
信息：是 TR/Crypt.XPACK.Gen 特洛伊木马

红伞报毒！

a445441

QVM20

消停

文件名: 3813343.exe
威胁名称: SONAR.Heuristic
完整路径: 不可用

____________________________

详细信息
极少用户信任的文件,  极新的文件,  风险 高

原始
下载自�� 未知

活动
已执行的操作: 4

____________________________


在电脑上的创建时间 2013-5-3 ( 13:36:22 )
上次使用时间 2013-5-3 ( 13:36:22 )
启动项目 否
已启动 是

____________________________


极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。



____________________________



来源: 外部介质
�≡次募�:
winrar.exe�〈唇ǖ奈募�:
3813343.exe��

____________________________

文件操作

文件: f:\norton样本\特殊\3813343.exe已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\特殊\3813343.exe, PID:3188)未采取操作
事件: 进程启动: f:\norton样本\特殊\3813343.exe, PID:3188 (执行者 f:\norton样本\特殊\3813343.exe, PID:3188)未采取操作
____________________________

可疑操作

事件: 尝试在进程地址空间内启动远程线程 (执行者 f:\norton样本\特殊\3813343.exe, PID:3188)未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

lbb9432

哈哈,双击杀衍生物

a256886572008

fireold 发表于 2013-5-3 10:46
GD 2014

GDATA 沒有把 那個 n 文件，還有 CLSID 註冊表給回滾掉？

fireold

a256886572008 发表于 2013-5-3 17:13
GDATA 沒有把 那個 n 文件，還有 CLSID 註冊表給回滾掉？

只到這個地方

*** Process ***

Process: 2240
File name: rundll32.exe
Path: c:\progra~2\rundll32.exe

Publisher: Microsoft Windows
Creation date: 05/03/13 08:34:45
Modification date: 05/03/13 08:34:45

Started by: rundll32.exe
Publisher: Microsoft Windows


*** Actions ***

The program has executed actions in the name of another program.
The program establishes a network connection.
A network connection was established using another programs context.

YGLRjLIPKycvJy8mBiwnJyYmJwcuJ75yci0n7JArFs0o2ZAuJ+5yci8n/KAnJ/xiYnLCD5pyci8n92JioCon96AsJ+5yci8n/KAtJycnJyYGrHKCcoJiYuAsJycnJyYGj3JyYmJycnDYcnJiYnJycPlygmJicoJwuqKhW2OmgqKhW2OmctKxXWO2cnDqcuIOxy8n7nJyLyf8cI5ygg0A
Rules version: 4.0.10
OS: Windows 6.1 Service Pack 1.0 Build: 7601 - Workstation 32bit OS
dll version: 30732

C:\PROGRA~2\rundll32.exe C:\PROGRA~2\q6zfo0.dat,FG03
C:\PROGRA~2\rundll32.exe C:\PROGRA~2\q6zfo0.dat,FG00

鎖屏前GD有一個彈窗，我來不及點確定來封鎖它，接著就被鎖屏屏。

bambooslip