VT Detection ratio: 3 / 47 b34btbztdb0vavaw.exe

显示全部楼层 · 发表于 2013-7-3 22:24:04

本帖最后由墨家小子于 2013-7-3 22:31 编辑

https://www.virustotal.com/en/fi ... nalysis/1372861296/

今天怎么没看到影子样本呢？那个谁，你没来吗？

文件: C:\Users\AA\Desktop\b34btbztdb0vavaw (1)\b34btbztdb0vavaw.exe
大小: 143360 字节
文件版本: 5.3.3790.1830 (srv03_sp1_rtm.050324-1447)
修改时间: 2013年7月3日, 17:19:44
MD5: 2346677E8918DEB68C795934D201E773
SHA1: 0D8341B36B3D129DB57427AE2F74248C7999A705
CRC32: 61DC532C

文件: C:\Users\AA\Desktop\b34btbztdb0vavaw\b34btbztdb0vavaw.exe
大小: 158208 字节
文件版本: 5.1.2600.5512 (xpsp.080413-2105)
修改时间: 2013年7月3日, 22:19:42
MD5: AE75CE13A328FDEE8BED75FCCD5AC454
SHA1: 22BA6113264AF92F417912FA9235A271F3923867
CRC32: F4B20596

显示全部楼层 · 发表于 2013-7-3 23:31:45

本帖最后由 hddu 于 2013-7-3 23:37 编辑

(一)成功阻止锁屏

2013-07-03 23:13:44 运行应用程序    操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\regsvr32.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\d2bt.dat,XFG00
触发规则:所有程序规则->系统进程设置->%windir%\system32\rundll32.exe

(二) 成功锁屏，启动项隔离区创建，重启恢复正常。

regsvr32.exe F:\virus\b34btbztdb0vavaw\b34btbztdb0vavaw.exe

2013-07-03 23:17:58 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\regsvr32.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\evww.dat,XFG00
触发规则:应用程序规则->防止网马->%ProgramFiles%\Internet Explorer\iexplore.exe->%windir%\system32\rundll32.exe

2013-07-03 23:18:11 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\evww.dat,XFG01
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->%windir%\system32\rundll32.exe

2013-07-03 23:18:14 创建文件    操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\regmonstd.lnk
触发规则:应用程序规则->rundll32设置->%windir%\system32\rundll32.exe->?:\Documents and Settings\*\*菜单\程序\启动*\*

2013-07-03 23:18:14 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\evww.dat,XFG03
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->%windir%\system32\rundll32.exe

2013-07-03 23:18:17 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\Program Files\Internet Explorer\IEXPLORE.EXE
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->%ProgramFiles%\Internet Explorer\iexplore.exe

2013-07-03 23:18:19 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\evww.dat,XFG04
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->%windir%\system32\rundll32.exe

2013-07-03 23:18:22 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\evww.dat,XFG06
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->%windir%\system32\rundll32.exe

2013-07-03 23:18:23 创建远程线程    操作:阻止并结束进程
进程路径:C:\WINDOWS\system32\rundll32.exe
目标进程:C:\Program Files\Internet Explorer\IEXPLORE.EXE
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->%ProgramFiles%\Internet Explorer\iexplore.exe

2013-07-03 23:18:56 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\Program Files\Windows Media Player\wmplayer.exe
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->*\*.exe

2013-07-03 23:18:59 创建远程线程    操作:阻止
进程路径:C:\WINDOWS\system32\rundll32.exe
目标进程:C:\Program Files\Windows Media Player\wmplayer.exe
触发规则:所有程序规则->*

2013-07-03 23:19:02 创建远程线程    操作:阻止
进程路径:C:\WINDOWS\system32\rundll32.exe
目标进程:C:\Program Files\Windows Media Player\wmplayer.exe
触发规则:所有程序规则->*

2013-07-03 23:20:32 运行应用程序    操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\evww.dat,XFG07
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->%windir%\system32\rundll32.exe

显示全部楼层 · 发表于 2013-7-3 22:26:22

管家安全

显示全部楼层 · 发表于 2013-7-3 22:26:23

巡警被过，已经上传。

显示全部楼层 · 发表于 2013-7-3 22:28:39

XywCloud 发表于 2013-7-3 22:26
巡警被过，已经上传。

把下面当成你签名多好，省得回帖了

人间大炮二进制启发式引擎成功摧毁目标！
已经上传。

显示全部楼层 · 发表于 2013-7-3 22:48:50

墨家小子发表于 2013-7-3 22:28
把下面当成你签名多好，省得回帖了

人间大炮二进制启发式引擎成功摧毁目标！

这个不行...
有时候这炮打不准，没办法摧毁目标。

显示全部楼层 · 发表于 2013-7-3 23:26:34

显示全部楼层 · 发表于 2013-7-3 23:26:56

锁屏

显示全部楼层 · 发表于 2013-7-3 23:35:38

2013-07-03 23:20:32 运行应用程序操作:允许
进程路径:C:\WINDOWS\system32\rundll32.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\evww.dat,XFG07
触发规则:应用程序规则->系统程序->%windir%\system32\rundll32.exe->%windir%\system32\rundll32.exe

允许或阻止均被锁瓶，仅有阻止并结束进程能避免。

显示全部楼层 · 发表于 2013-7-4 07:10:20

文件名: b34btbztdb0vavaw.exe
威胁名称: Trojan.Zeroaccess!g46
完整路径: f:\norton样本\b34btbztdb0vavaw.zip

____________________________

详细信息
未知的社区使用情况, 未知的文件存在时间, 风险高

原始
下载自 未知

活动
已执行的操作: 已执行的操作: 1

____________________________

在电脑上的创建时间不可用
上次使用时间 2013-7-4 ( 7:07:48 )
启动项目否
已启动否

____________________________

未知
诺顿社区中使用了此文件的用户数未知。

未知
此文件版本当前未知。

高
此文件具有高风险。

威胁类型: 病毒。将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。

____________________________

来源: 外部介质


____________________________

文件操作

b34btbztdb0vavaw.exe[包含在] f:\norton样本\b34btbztdb0vavaw.zip已删除
____________________________

文件指纹 - SHA:
2b8b8050b4ce0edb1e53caa3f0dcf84c98e6ff5578c2862806d53cdb60b58be7
文件指纹 - MD5:
不可用

[可疑文件] VT Detection ratio: 3 / 47 b34btbztdb0vavaw.exe

本帖子中包含更多资源

本帖子中包含更多资源