Ransom_CRYPTEAR.SM

csklho

OfficeScan detected as Ransom_CRYPTEAR.SM
VirusTotal: https://www.virustotal.com/en/file/5abb9ab63a97aeeb7cd451f51ef0f53ac4d4cf68dd204635539d4306605b1706/analysis/

莒县小哥

火绒


病毒库：2017/07/06 15:35
开始时间：2017/07/07 14:46
总计用时：00:00:01
扫描对象：2个
扫描文件：1个
发现风险：1个
已处理风险：1个
发现系统修复项：0个
处理系统修复项：0个
病毒详情
风险路径：C:\Users\Administrator\Downloads\Executioner.zip >> Executioner.exe, 病毒名：Ransom/MSIL.Ryzerlo.a, 病毒ID：[528073a8acd73290], 处理结果：已处理

墨家小子

AVA 25.13259
GD 25.9942

*** 进程 ***

进程: 7284
文件名: Executioner.exe
路径: c:\users\杜蕾斯\desktop\executioner.exe

发行商：: 未知发行商
创建日期: 2017年7月7日 14:56:09
修改日期: 2017年7月7日 14:30:59

启动进程：: Explorer.EXE
发行商：: Microsoft Windows


*** 操作 ***

病毒扫描程序已检测出此文件是恶意程序。
程序正经过网络建立连接。
可执行文件被保存在一个可疑位置。
该程序在G DATA软件的文件夹中写入数据。


*** 隔离区 ***

下列文件被转入隔离区：
C:\$RECYCLE.BIN\S-1-5-21-882639051-1261622828-682048811-1001\$ILMOZIB.rar.λΔΞrws
C:\$RECYCLE.BIN\S-1-5-21-882639051-1261622828-682048811-1001\$INM4CJ0.txt.2Πяa7r
C:\$RECYCLE.BIN\S-1-5-21-882639051-1261622828-682048811-1001\$ISJI9LF.zip.Ν7qιΜq
C:\$RECYCLE.BIN\S-1-5-21-882639051-1261622828-682048811-1001\$IU3O3DE.zip.яaшbΜu
C:\$RECYCLE.BIN\S-1-5-21-882639051-1261622828-682048811-1001\$IUEHHW0.rar.xwιλяt
C:\$RECYCLE.BIN\S-1-5-21-882639051-1261622828-682048811-1001\$RLMOZIB.rar.qe6uΜy
C:\$RECYCLE.BIN\S-1-5-21-882639051-1261622828-682048811-1001\$RNM4CJ0.txt.71ddяy
C:\$RECYCLE.BIN\S-1-5-21-882639051-1261622828-682048811-1001\$RSJI9LF.zip.Λ6yvя3
C:\$RECYCLE.BIN\S-1-5-21-882639051-1261622828-682048811-1001\$RU3O3DE.zip.Ф0ιФя7
C:\$RECYCLE.BIN\S-1-5-21-882639051-1261622828-682048811-1001\$RUEHHW0.rar.41гюr0
C:\Users\杜蕾斯\Desktop\Executioner.exe
C:\localdns\dnscrypt-proxy\dnscrypt-blacklist-domains.txt.Ψμt3λш
C:\localdns\dnscrypt-proxy\dnscrypt-blacklist-ips.txt.7Ν3шvΠ
c:\$getcurrent\logs\sifre_coz_talimat.html
c:\$getcurrent\safeos\sifre_coz_talimat.html
c:\$getcurrent\sifre_coz_talimat.html
c:\$recycle.bin\s-1-5-21-882639051-1261622828-682048811-1001\sifre_coz_talimat.html
c:\boxroot\harddiskvolume5\intel\gp\sifre_coz_talimat.html
c:\boxroot\harddiskvolume5\intel\sifre_coz_talimat.html
c:\boxroot\harddiskvolume5\users\杜蕾斯\appdata\local\microsoft\sifre_coz_talimat.html
c:\boxroot\harddiskvolume5\users\杜蕾斯\appdata\local\sifre_coz_talimat.html
c:\boxroot\harddiskvolume5\users\杜蕾斯\appdata\sifre_coz_talimat.html
c:\boxroot\harddiskvolume5\users\杜蕾斯\intelgraphicsprofiles\sifre_coz_talimat.html
c:\programdata\bdlogging\cstlogs\sifre_coz_talimat.html
c:\programdata\bdlogging\cstlogs\vsservppl.exe\2016-12-04_05_55_53__3312\sifre_coz_talimat.html
c:\programdata\bdlogging\cstlogs\vsservppl.exe\2016-12-04_06_12_30__1624\sifre_coz_talimat.html
c:\programdata\bdlogging\cstlogs\vsservppl.exe\2016-12-05_10_36_33__1472\sifre_coz_talimat.html
c:\programdata\bdlogging\cstlogs\vsservppl.exe\2016-12-05_11_20_04__0176\sifre_coz_talimat.html
c:\programdata\bdlogging\cstlogs\vsservppl.exe\2016-12-05_11_21_35__1860\sifre_coz_talimat.html
c:\programdata\bdlogging\cstlogs\vsservppl.exe\2016-12-06_07_33_41__1892\sifre_coz_talimat.html
c:\programdata\bdlogging\cstlogs\vsservppl.exe\2016-12-06_07_39_49__1860\sifre_coz_talimat.html
c:\programdata\bdlogging\cstlogs\vsservppl.exe\2016-12-07_03_14_18__1440\sifre_coz_talimat.html
c:\programdata\bdlogging\cstlogs\vsservppl.exe\2016-12-17_03_40_03__4680\sifre_coz_talimat.html
c:\programdata\bdlogging\cstlogs\vsservppl.exe\2016-12-19_08_36_41__1816\sifre_coz_talimat.html
c:\programdata\bdlogging\cstlogs\vsservppl.exe\2016-12-20_13_07_54__1648\sifre_coz_talimat.html
c:\programdata\bdlogging\cstlogs\vsservppl.exe\sifre_coz_talimat.html
c:\programdata\bdlogging\productagentservice\sifre_coz_talimat.html
c:\programdata\bdlogging\productagentui\sifre_coz_talimat.html
c:\programdata\sifre_coz_talimat.html

下列注册表项被删除：


YHJyBy0nZycnZycmBi8nKCcoJganQicodIJiYnArJygnKCYGuXKyoC0nKCcoJgaPcnIoJ4diYnCocnJycmJicLhy0i8n/WJicLpygVdjtnJygVdjtnJiYnCccnJycmJicI5ycgb3KCcK9y8nKicqJgbYLicqJyomBgA
规则版本： 5.0.147
OS: Windows 10.0 Service Pack 0.0 Build: 14393 - Workstation 64bit OS
DLL版本： 68091

"C:\Users\杜蕾斯\Desktop\Executioner.exe"
MD5: BDD3C336DC7CA5D7E486D120BA5C2F1C
C:\WINDOWS\Explorer.EXE
MD5: 679D17F8CDB938C7100D7A647953677E

fireherman

墨家小子 发表于 2017-7-7 14:58
AVA 25.13259
GD 25.9942

c:\boxroot\harddiskvolume5\users\杜蕾斯\appdata\sifre_coz_talimat.html

很……令人满怀遐想的user name...


ESET killed

浅暮、浅离

卡巴！！！

Gollum

BDTS

猥琐大叔

397987544

文件名: executioner.exe
威胁名称: Ransom.HiddenTear!g1完整路径:

____________________________

____________________________


在电脑上 
2017/7/7 ( 21:35:35 )

上次使用时间 
2017/7/7 ( 21:37:36 )

启动项 
否

已启动 
否

威胁类型: 病毒。 将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。

____________________________


executioner.exe 威胁名称: Ransom.HiddenTear!g1
定位


极少用户信任的文件
Norton 社区中有不到 5 名用户 使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


https://att.kafan.cn/forum.php?mo ... DcyOTJ8MjA5NTU5Nw==
已下载文件 从 att.kafan.cn
来源: 外部介质

executioner.exe

____________________________

文件操作

文件: e:\\downloads\compressed\ executioner.exe 已删除
____________________________


文件指纹 - SHA:
5abb9ab63a97aeeb7cd451f51ef0f53ac4d4cf68dd204635539d4306605b1706
文件指纹 - MD5:
bdd3c336dc7ca5d7e486d120ba5c2f1c

ytysh

F-Secure Kill

迅灵

墨家小子 发表于 2017-7-7 14:58
AVA 25.13259
GD 25.9942

你的名字很特别