ASN1.Ransomware(17.03.02)

显示全部楼层 · 发表于 2017-3-2 18:29:06

毒霸拦截

显示全部楼层 · 发表于 2017-3-2 19:24:08

sep解压就拦截

检测到的安全风险: W32.Patorge
文件: \asn1.exe

显示全部楼层 · 发表于 2017-3-2 19:25:32

文件名: asn1.exe
威胁名称: W32.Patorge完整路径: c:\users\desktop\asn1.exe

____________________________

____________________________

在电脑上
2017/3/2 ( 19:22:34 )

上次使用时间
2017/3/2 ( 19:24:39 )

启动项
否

已启动
否

威胁类型: 病毒。将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。

____________________________

asn1.exe 威胁名称: W32.Patorge
定位

极少用户信任的文件
Norton 社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。

____________________________

https://att.kafan.cn/forum.php?mo ... jA3ODZ8MjA3OTA0Ng==
已下载文件从 att.kafan.cn
来源: 外部介质

asn1.exe

____________________________

文件操作

文件: c:\users\desktop\ asn1.exe 已删除
____________________________

文件指纹 - SHA:
6a407e26b35ce7d16be748f5f3839334c9dc6ec5520960f6832b4cf3a61d0e94
文件指纹 - MD5:
2afa8c689b912b1147ae6ba52f37337e

显示全部楼层 · 发表于 2017-3-2 19:58:15

显示全部楼层 · 发表于 2017-3-2 22:30:23

avg 扫描miss未双击

显示全部楼层 · 发表于 2017-3-2 23:09:30

双击秒 avast

显示全部楼层 · 发表于 2017-3-3 10:35:14

原因： Trojan.GenericKD.4502757,

显示全部楼层 · 发表于 2017-3-5 14:30:16

敲诈者木马
2017/3/5 14:27:08 创建文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\Users\zheng\AppData\Roaming\efab8608.exe.dat
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]询问-其他文件扩展名

2017/3/5 14:27:08 创建新进程允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: c:\windows\system32\vssadmin.exe
命令行: "C:\Windows\System32\vssadmin.exe" delete shadows /all /quiet
规则: [应用程序组]%系统程序-绝对禁运《防被木马利用》11

2017/3/5 14:27:11 创建文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\amd\amd-catalyst-15.7.1-with-dotnet45-win7-32bit\config\!!!!!readme!!!!!.htm
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]秒杀-行为防御，防创建(类似于黑名单,可自行加入) -> [文件]*; ????????????????????

2017/3/5 14:27:11 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\CIMSweeper.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:11 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\DLMServer.cfg
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:12 向其他进程复制句柄允许
进程: c:\windows\system32\conhost.exe
目标: c:\windows\system32\vssadmin.exe
句柄: (Event) 0x00000090
规则: [应用程序组]★系统-系统程序组(WIN7系统)★ 9 -> [应用程序]c:\windows\system32\conhost.exe -> [目标应用程序]%系统程序-绝对禁运《防被木马利用》11 -> [应用程序]?:\windows\system32\vssadmin.???

2017/3/5 14:27:13 加载动态链接库允许
进程: c:\windows\system32\vssadmin.exe
目标: c:\windows\system32\sechost.dll
规则: [应用程序组]%系统程序-绝对禁运《防被木马利用》11

2017/3/5 14:27:13 加载动态链接库阻止
进程: c:\windows\system32\vssadmin.exe
目标: c:\windows\system32\atl.dll
规则: [应用程序组]%系统程序-绝对禁运《防被木马利用》11

2017/3/5 14:27:13 加载动态链接库允许
进程: c:\windows\system32\vssadmin.exe
目标: c:\windows\system32\vsstrace.dll
规则: [应用程序组]%系统程序-绝对禁运《防被木马利用》11

2017/3/5 14:27:14 加载动态链接库允许
进程: c:\windows\system32\vssadmin.exe
目标: c:\windows\system32\vssapi.dll
规则: [应用程序组]%系统程序-绝对禁运《防被木马利用》11

2017/3/5 14:27:14 加载动态链接库允许
进程: c:\windows\system32\vssadmin.exe
目标: c:\windows\system32\imm32.dll
规则: [应用程序组]%系统程序-绝对禁运《防被木马利用》11

2017/3/5 14:27:15 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\Language.Dat
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:16 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetCHS.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:16 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetCHT.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:17 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetCSY.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:17 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetDAN.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:18 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetDEU.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:18 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetENU.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:19 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetESP.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:19 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetFIN.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:20 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetFRA.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:20 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetGRK.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:21 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetHNG.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:21 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetITA.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:22 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetJPN.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:23 修改文件允许
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetKOR.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

2017/3/5 14:27:23 修改文件阻止并结束进程
进程: c:\users\zheng\appdata\roaming\efab8608.exe
目标: C:\AMD\AMD-Catalyst-15.7.1-With-DOTNet45-Win7-32bit\Config\MonetNLD.xml
规则: [应用程序组]游戏软件常用目录  —————36 -> [文件组]保护-驱动程序保护

[病毒样本] ASN1.Ransomware(17.03.02)

本帖子中包含更多资源