【掛馬樣本】PO439.exe VT(10/55)

显示全部楼层 · 发表于 2017-1-23 16:38:46

掛馬網址：eletromaravirtual.com.br/bin/PO439.exe

VT(10/55)：https://www.virustotal.com/en/fi ... nalysis/1485160515/

Payload行為分析：
https://www.hybrid-analysis.com/ ... b?environmentId=100

樣本載點(SHA256前六碼312E16，密碼infected)：
百度雲盤-http://pan.baidu.com/s/1b1BqyE (提取碼：mvgt)

測試：
Zemana - Trojan:Win32/Tamaca!Keer

显示全部楼层 · 发表于 2017-1-23 16:41:49

The pattern of 'TR/Dropper.Gen [trojan]'
detected in file 'C:\Users\Ivan\Downloads\PO439.exe'.

显示全部楼层 · 发表于 2017-1-23 16:46:39

双击
火绒miss
avast新版miss

显示全部楼层 · 发表于 2017-1-23 16:47:51

衍生物触发B启发，然后SONAR删除：

文件名: po439.exe
威胁名称: SONAR.Heuristic.158
完整路径: 不可用
____________________________

详细信息
极少用户信任的文件, 极新的文件, 风险高

原始
下载自
未知

活动
已执行的操作: 7
____________________________

在电脑上的创建时间
2017-1-23 ( 16:42:58 )

上次使用时间
2017-1-23 ( 16:42:58 )

启动项目
否

已启动
是
____________________________

极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

来源: 外部介质

源文件:
explorer.exe

创建的文件:
po439.exe
____________________________

文件操作

文件: f:\norton样本\sonar漏检\临时收集\ po439.exe 已删除
文件: c:\programdata\norton\{0c55c096-0f1d-4f28-aaa2-85ef591126e7}\srtsp\quarantine\ apcf60be01.exe 已删除
____________________________

网络操作

事件: 已触发自动防护 (执行者 f:\norton样本\sonar漏检\临时收集\po439.exe, PID:3252) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\sonar漏检\临时收集\po439.exe, PID:3252) 未采取操作
(执行者 f:\norton样本\sonar漏检\临时收集\po439.exe, PID:3252) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\local\temp\ tsmgr.exe (执行者 f:\norton样本\sonar漏检\临时收集\po439.exe, PID:3252) 未采取操作
事件: 进程启动: f:\norton样本\sonar漏检\临时收集\ po439.exe, PID:3252 (执行者 f:\norton样本\sonar漏检\临时收集\po439.exe, PID:3252) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

显示全部楼层 · 发表于 2017-1-23 17:00:45

MSE miss

显示全部楼层 · 发表于 2017-1-23 17:11:14

显示全部楼层 · 发表于 2017-1-23 17:27:05

Trend Micro：

扫描：miss；

双击：实机双击，Aegis斩杀并回滚衍生物【监控也出马】

威胁名称: BKDR_LUMINOSITY.SM1

类型: 威胁

受感染文件: C:\Users\abori\AppData\L…\tsmgr.exe

处理措施: 已移除

检测方式: 实时扫描

威胁名称: BKDR_LUMINOSITY.SM1

类型: 威胁

受感染文件: C:\users\abori\appdata\loc…\tsmgr.exe

处理措施: 已移除

检测方式: 实时扫描

此信息来自哪里？

威胁名称: HEU_AEGISCS985

类型: 威胁

受感染文件: c:\users\abori\appdata\…\tsmgr.exe.lnk

处理措施: 已移除

检测方式: 实时扫描

威胁名称: HEU_AEGISCS985

类型: 威胁

受感染文件: C:\Users\abori\Desktop\PO439.exe

处理措施: 已移除

检测方式: 实时扫描

名称: PO439.exe

来自: 未知

版本:

版权:

检测到的资源或进程 ID: C:\Users\abori\AppData\Local\Temp\FolderN\tsmgr.exe.lnk

处理措施: 已清除

显示全部楼层 · 发表于 2017-1-23 17:37:48

360下载报

显示全部楼层 · 发表于 2017-1-23 17:43:14

显示全部楼层 · 发表于 2017-1-23 17:45:49

卡巴双击回滚+启发

[病毒样本] 【掛馬樣本】PO439.exe VT(10/55)

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源