VT Detection ratio: 4 / 47 4932152.exe

显示全部楼层 · 发表于 2013-6-6 23:16:19

https://www.virustotal.com/en/fi ... nalysis/1370531713/

显示全部楼层 · 发表于 2013-6-7 06:16:57

G Data

*** Process ***

Process: 3668
File name: 4932152.exe
Path: c:\users\alan\downloads\4932152\4932152.exe

Publisher: Unknown publisher
Creation date: 06/06/13 15:12:18
Modification date: 06/06/13 22:15:15

Started by: explorer.exe
Publisher: Microsoft Windows

*** Actions ***

The virus scanner has detected that the file is malicious.
The program has created or manipulated an executable file.
The program created a copy of itself.
An executable file was stored in a suspicious location.

*** Quarantine ***

The following files were moved into quarantine:
C:\Users\alan\AppData\Roaming\KB00958834.exe
C:\Users\alan\AppData\Roaming\KB00958834.exe:Zone.Identifier
C:\Users\alan\Downloads\4932152\4932152.exe

The following registry entries were deleted:

YHLS0HKCcoJiYuByknKSYmLwcnJycmJicCp0ckInJyYGt3JycnJiYpArJwrbcnJycmJiwC8nJycnJgbPcnJycmJicKhygnKCYmJwuHKCcoJiYnDocnJycmJicLqC4VxjtnKC4VxjtnJiYnCOcrIAAA
Rules version: 4.1.2
OS: Windows 6.1 Service Pack 1.0 Build: 7601 - Workstation 32bit OS
dll version: 30732

"C:\Users\alan\Downloads\4932152\4932152.exe"
C:\Windows\Explorer.EXE

显示全部楼层 · 发表于 2013-6-7 10:24:03

文件名: 4932152.exe
威胁名称: W32.Cridex
完整路径: f:\norton样本\4932152.zip

____________________________

详细信息
未知的社区使用情况, 未知的文件存在时间, 风险高

原始
下载自 未知

活动
已执行的操作: 已执行的操作: 1

____________________________

在电脑上的创建时间不可用
上次使用时间 2013-6-7 ( 10:14:28 )
启动项目否
已启动否

____________________________

未知
诺顿社区中使用了此文件的用户数未知。

未知
此文件版本当前未知。

高
此文件具有高风险。

威胁类型: 病毒。将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。

____________________________

来源: 外部介质


____________________________

文件操作

4932152.exe[包含在] f:\norton样本\4932152.zip已删除
____________________________

文件指纹 - SHA:
8eac053bbcecad6aad1e796033119fe4089ac94739f6d4c11923578660431c17
文件指纹 - MD5:
不可用

显示全部楼层 · 发表于 2013-6-7 10:26:05

显示全部楼层 · 发表于 2013-6-7 10:43:29

入库

显示全部楼层 · 发表于 2013-6-7 10:58:33

火绒深度启发拦截了，但是测试主防还是发现了问题：
双击样本，弹窗如下：

点清除，那么，应该是结束样本进程并回滚，按理说到此就应该结束了。。。但是还有续集。。。
点清除后，马上出来弹窗：

奇怪了，利用系统进程添加开机启动？既然是系统进程，火绒当然要推荐了（以前类似的样本上报过官方，看来没解决）
我是小白，当然要听话了，就按照推荐点允许，以为这就剧终了，但是过一段时间后，还有续集。。。

这次点击清除应该查杀了，查看启动项目里也没有。。

小白要问：虽然火绒行为杀了，怎么这么多乱？
还是搬来微点试试，双击，微点直接报位置间谍，点清除，世界安静了。。。

显示全部楼层 · 发表于 2013-6-7 11:17:25

win98sp123 发表于 2013-6-7 10:58
火绒深度启发拦截了，但是测试主防还是发现了问题：
双击样本，弹窗如下：

这么久了注入还是没有解决哦

[可疑文件] VT Detection ratio: 4 / 47 4932152.exe

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源