【掛馬樣本】Super.exe VT(8/55)

Agu

掛馬網址：cldup.com/Dcx4HVf_If.exe?download=Super.exe

VT(8/55)：https://www.virustotal.com/en/fi ... nalysis/1484752145/

Payload行為分析：
https://www.hybrid-analysis.com/ ... c?environmentId=100

樣本載點(SHA256前六碼41483E，密碼infected)：
百度雲盤-http://pan.baidu.com/s/1qXR6WH2 (提取碼：dknq)

測試：
Zemana - Trojan:Win32/Sarajia.A!Cctt

Dolby123

DrWeb

super.exe --- BackDoor.Wirenet.183

INnoVation

百度杀毒 5.1 扫描MISS

linzh

ESET杀

欧阳宣

诺顿已入库

pal家族

卡巴入库
19.01.2017 08.18.09;Detected object (file) deleted;D:\360安全浏览器下载\Malware@41483E\Super.exe;D:\360安全浏览器下载\Malware@41483E\Super.exe;Trojan.Win32.Autoit.abfdb;Trojan program;01/19/2017 08:18:09

BE_HC

AVG扫描MISS，双击MISS
已打包繁衍物（密码infected）
[mw_shl_code=css,true]访问的IP：
127.0.0.1（本地）
192.168.126.2（局域网？）
185.84.181.73（百度：土耳其）[/mw_shl_code]

275751198

360  QVM报

275751198

BE_HC 发表于 2017-1-19 08:48
AVG扫描MISS，双击MISS
已打包繁衍物（密码infected）
[mw_shl_code=css,true]访问的IP：

360杀毒实时防护日志

时间                    防护说明                                                                  处理结果                                                        文件
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
2017-01-18 07:34:15     恶意软件(QVM25.0.4BCA.Malware.Gen)MD5:7675a3e1ddd4012fbc3a6e8476bbdd7a    已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\360安全浏览器下载\繁衍物\jyycsq\ty1m.dll

胖福

BE_HC 发表于 2017-1-19 08:48
AVG扫描MISS，双击MISS
已打包繁衍物（密码infected）
[mw_shl_code=css,true]访问的IP：

文件名: oxdw8u.exe
威胁名称: SONAR.SelfHijack!gen1
完整路径: 不可用

____________________________



详细信息
未知的社区使用情况,  未知的文件存在时间,  风险 高





原始
下载自
 未知





活动
已执行的操作: 34



____________________________



在电脑上的创建时间 
不可用


上次使用时间 
(  )


启动项目 
否


已启动 
是


____________________________


未知
诺顿社区中使用了此文件的用户数 未知。

未知
此文件版本当前 未知。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。



____________________________



来源: 外部介质



____________________________

文件操作

文件: f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\ oxdw8u.exe 不需要操作
文件: c:\users\administrator\appdata\roaming\microsoft\ 4eplkaznoi.exe 已删除
文件: c:\users\administrator\appdata\roaming\microsoft\ ty1m.dll 已删除
文件: c:\users\administrator\appdata\roaming\microsoft\ x 不需要操作
事件: 正在运行进程: c:\users\administrator\appdata\roaming\microsoft\ 4eplkaznoi.exe 已终止
目录: c:\ 4eplkaznoi4eplkaznoi 不需要操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
(执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4748 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ PING.EXE, PID:4800 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4832 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4840 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4856 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ schtasks.exe, PID:4892 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ PING.EXE, PID:4900 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4924 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ PING.EXE, PID:4968 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ PING.EXE, PID:4988 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4996 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ schtasks.exe, PID:5008 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ schtasks.exe, PID:5020 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:5048 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ PING.EXE, PID:5160 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ PING.EXE, PID:5196 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ PING.EXE, PID:5204 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\ oxdw8u.exe, PID:5276 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ reg.exe, PID:5328 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\roaming\microsoft\ 4eplkaznoi.exe (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\roaming\microsoft\ ty1m.dll (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:5276) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\ oxdw8u.exe, PID:5276 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:5276) 未采取操作
事件: 进程启动: c:\Windows\System32\ reg.exe, PID:5368 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: c:\Windows\System32\ reg.exe, PID:5388 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\ oxdw8u.exe, PID:4712 (执行者 f:\norton样本\sonar漏检\临时收集\繁衍物\jyycsq\oxdw8u.exe, PID:4712) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用