高级U盘病毒？？……欢迎上报党，分析党，扫描党……

zhou0197

VT好像就2家报，样本似乎不能正常运行？（似乎XP系统不行，win7貌似OK）

VT：https://www.virustotal.com/en/fi ... nalysis/1488565846/
https://www.virustotal.com/en/fi ... nalysis/1489290576/

样本：http://pan.baidu.com/s/1nva3mRJ

密码：infected

魔盾分析：
https://www.maldun.com/analysis/ ... UzOWRzZmFzZGZhc2Rm/
https://www.maldun.com/analysis/ ... U0MGRzZmFzZGZhc2Rm/

一共2个文件……

各位瞧瞧？


等下我看看能否分析行为…………

说真的，那么多杀毒软件不报，样本来自位于塔吉克斯坦的中国孔子学院某员工，据说很多电脑中招？

通过U盘传播，样本似乎有远程连接行为，对应IP位于格鲁吉亚？？



行为：

2017/3/12 13:18:28    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\users\sep\desktop\getimage\getimage.exe
命令行: "C:\Users\SEP\Desktop\GetImage\GetImage.exe"
规则: [应用程序]*

2017/3/12 13:18:28    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Local\Temp\_MEI50442\Microsoft.VC90.CRT.manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2017/3/12 13:18:28    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Local\Temp\_MEI50442\msvcr90.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2017/3/12 13:18:28    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Local\Temp\_MEI50442\msvcp90.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2017/3/12 13:18:28    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Local\Temp\_MEI50442\msvcm90.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2017/3/12 13:18:29    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Local\Temp\_MEI50442\python27.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2017/3/12 13:18:29    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Local\Temp\_MEI50442\pythoncom27.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2017/3/12 13:18:29    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Local\Temp\_MEI50442\pywintypes27.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2017/3/12 13:18:29    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Local\Temp\_MEI50442\Microsoft.VC90.MFC.manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2017/3/12 13:18:29    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Local\Temp\_MEI50442\mfc90.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2017/3/12 13:18:30    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Local\Temp\_MEI50442\mfc90u.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2017/3/12 13:18:30    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Local\Temp\_MEI50442\mfcm90.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2017/3/12 13:18:30    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Local\Temp\_MEI50442\mfcm90u.dll
规则: [文件组]所有执行文件 -> [文件]*; *.dll

2017/3/12 13:18:30    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Local\Temp\_MEI50442\WinSecure.exe.manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2017/3/12 13:18:30    创建新进程    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: c:\users\sep\desktop\getimage\getimage.exe
命令行: "C:\Users\SEP\Desktop\GetImage\GetImage.exe"
规则: [应用程序]*

2017/3/12 13:18:31    访问网络    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: TCP [本机 : 49170] ->  [146.255.243.102 : 80 (http)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2017/3/12 13:18:37    创建文件    允许
进程: c:\users\sep\desktop\getimage\getimage.exe
目标: C:\Users\SEP\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\WinSecure.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2017/3/12 13:18:46    创建新进程    允许
进程: c:\windows\system32\services.exe
目标: c:\windows\system32\wermgr.exe
命令行: C:\Windows\system32\wermgr.exe -queuereporting
规则: [应用程序]*

dongwenqi

卡巴MISS

ELOHIM

比较猛。
WD MISS。

zhou0197

ELOHIM 发表于 2017-3-12 13:13
比较猛。
WD MISS。

SEP（开A杀）和卡巴似乎全部MISS…………

这么多不报，还会联网（连到格鲁吉亚去了）的U盘病毒，真的不多见啊……

猥琐大叔

avast miss

蓝天二号

文件名: getimage.exe
威胁名称: WS.Reputation.1完整路径: c:\users\microsoft\desktop\新建文件夹\getimage\getimage.exe

____________________________

____________________________


在电脑上 
2017/3/12 ( 13:30:42 )

上次使用时间 
2017/3/12 ( 13:32:42 )

启动项 
否

已启动 
否

威胁类型: 智能网络威胁。 很多迹象表明此文件不可信任，不安全

____________________________


getimage.exe 威胁名称: WS.Reputation.1
定位


少量用户信任的文件
Norton 社区中有不到 50 名用户 使用了此文件。

发布已久的文件
该文件已在 10 个月 前发行。

中
此文件具有中等程度风险。


____________________________


来源: 外部介质

源文件:
getimage.exe

____________________________

文件操作

文件: c:\users\microsoft\desktop\新建文件夹\getimage\ getimage.exe 已删除
____________________________


文件指纹 - SHA:
e269b0c4d33ec900f5542d8a5338915ff790310c8f63a8627e272b2cac4ee01f
文件指纹 - MD5:
0bcf08501969a9bbc7e7c2e32fd90a19

ELOHIM

zhou0197 发表于 2017-3-12 13:25
SEP（开A杀）和卡巴似乎全部MISS…………

这么多不报，还会联网（连到格鲁吉亚去了）的U盘病毒，真 ...

嗯。我没有从百度盘下载。下载的是 maldun 里面的两个 bin 文件。。

看过分析，感觉粗大事了。

心醉咖啡

火绒扫描miss

pal家族

等司机上班了再上报吧

540923555

VT的报毒数全都降到一个了。。。。