a06e763274e3a886d075133b0c446a478de52354e43333b107f7571e5f807fdb

墨家小子

SHA256: a06e763274e3a886d075133b0c446a478de52354e43333b107f7571e5f807fdb  
File name: SAT_Informe_10_12_2015.exe
Detection ratio: 3 / 55  
Analysis date: 2015-12-10 23:16:20 UTC ( 3 hours, 44 minutes ago )  
https://www.virustotal.com/en/fi ... e5f807fdb/analysis/



送三个：

蓝天二号

送三个 GD解决两个，

胖福

文件名: 1abfe3a193ffb7871f7efc9d1ecfa66dc2d34d55affacdbb00967ef86de63fa8.exe
威胁名称: Spyware.007Spy完整路径: f:\norton样本\诺顿排除\1abfe3a193ffb7871f7efc9d1ecfa66dc2d34d55affacdbb00967ef86de63fa8.exe

____________________________

____________________________


在电脑上的创建时间 
2015-12-11 ( 11:03:44 )

上次使用时间 
2015-12-11 ( 11:04:32 )

启动项目 
否

已启动 
否

威胁类型: 间谍软件。 主动跟踪个人或保密信息并将其发送给第三方的程序。

____________________________


1abfe3a193ffb7871f7efc9d1ecfa66dc2d34d55affacdbb00967ef86de63fa8.exe 威胁名称: Spyware.007Spy
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
winrar.exe

创建的文件:
1abfe3a193ffb7871f7efc9d1ecfa66dc2d34d55affacdbb00967ef86de63fa8.exe

____________________________

文件操作

受感染文件: f:\norton样本\诺顿排除\ 1abfe3a193ffb7871f7efc9d1ecfa66dc2d34d55affacdbb00967ef86de63fa8.exe 已删除
____________________________


文件指纹 - SHA:
1abfe3a193ffb7871f7efc9d1ecfa66dc2d34d55affacdbb00967ef86de63fa8
文件指纹 - MD5:
不可用

挥泪斩情思

KIS MISS 1X

XywCloud

BAV Kill 2x

胖福

第一个双击过诺顿，注入msiexec.exe，下载衍生物，衍生物创建启动项！
文件名: e1kyq317mo9.exe
完整路径: c:\programdata\device driver setup\e1kyq317mo9.exe
____________________________
____________________________

开发人员 
MADERA

版本 
8.3.3.5

已识别 
2015-12-11 ( 11:17:59 )

上次使用时间 
2015-12-11 ( 11:23:10 )

启动项 
是
____________________________

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

良好
诺顿为此文件指定的分级为一般。
____________________________

源文件:
msiexec.exe

创建的文件:
e1kyq317mo9.exe
____________________________

性能
____________________________

平均资源使用率: 低
平均 CPU 使用率: 低
平均内存使用率: 低
____________________________

文件指纹 - SHA:
a06e763274e3a886d075133b0c446a478de52354e43333b107f7571e5f807fdb
文件指纹 - MD5:
9c6929f9780e88b344bf9bb01bd01815




衍生物诺顿智能扫描显示信誉良好


衍生物所在文件夹打不开：


文件名: 48dc2f94899ab54fe86a74af96327b90dd6dbf5225fa5ea31595f0dc2c114264.exe
完整路径: F:\Norton样本\48dc2f94899ab54fe86a74af96327b90dd6dbf5225fa5ea31595f0dc2c114264.exe
____________________________
____________________________

开发人员 
不可用

版本 
1.0.0.1

已识别 
2015-12-11 ( 11:18:25 )

上次使用时间 
2015-12-11 ( 11:19:29 )

启动项 
否
____________________________

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

良好
诺顿为此文件指定的分级为一般。
____________________________

源文件:
48dc2f94899ab54fe86a74af96327b90dd6dbf5225fa5ea31595f0dc2c114264.exe
___________________________

性能
___________________________

平均资源使用率: 低
平均 CPU 使用率: 低
平均内存使用率: 低
____________________________

性能警报

进程 ID
5932

CPU
正常

内存
正常

句柄计数
正常

磁盘读取活动
正常

磁盘写入活动
正常

____________________________

系统更改

c:\program files\mssqlbing
c:\program files\mssqlbing\zesr68f4.dll
ProxyEnable
SavedLegacySettings
ProxyEnable
SavedLegacySettings
____________________________

文件指纹 - SHA:
48dc2f94899ab54fe86a74af96327b90dd6dbf5225fa5ea31595f0dc2c114264
文件指纹 - MD5:
ba62b45503ddece31068e82a3252519a




96fjr1dkqwkjdqwkjbdqkbkdjbqkwjdbqk82701919iu.exe运行后自动退出，成功创建启动项！


启动项诺顿智能扫描显示信誉为良好

墨家小子

胖福 发表于 2015-12-11 11:21
第一个双击过诺顿，注入msiexec.exe，下载衍生物，衍生物创建启动项！
文件名: e1kyq317mo9.exe
完整路径 ...

用PCHunter_free把那个文件夹打开，提取衍生物
PCHunter_free  -- 文件 --切换到衍生物所在位置 -- 右键复制

samlin01

红伞miss第一个