改_调用CMD后删自身

左手

老虎猫 发表于 2012-7-9 17:39

用写字板打开的？
哦。
好像对OFFICE没有影响。
---
打开写字板。
结果一样。
没有事

Lintel-TR

毒霸killed，火眼：http://fireeye.ijinshan.com/anal ... 4f716e2525f06f76db0

蓝天二号

微点

liping1994

山山Clean

521HDL

飞塔杀！

liulangzhecgr

2012-7-10 08:58:11    创建新进程    允许
进程: c:\windows\explorer.exe
目标: d:\downloads\maplestoryupdate\maplestoryupdate.exe
命令行: "D:\DownLoads\MapleStoryUpdate\MapleStoryUpdate.exe"
规则: [应用程序]*

2012-7-10 08:58:32    创建文件    允许
进程: d:\downloads\maplestoryupdate\maplestoryupdate.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\Gameupdate.bat
规则: [应用程序]* -> [文件]*

2012-7-10 08:59:05    修改注册表值    允许
进程: d:\downloads\maplestoryupdate\maplestoryupdate.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Gameupdate.bat
值: Gameupdate
规则: [应用程序]* -> [注册表]*

2012-7-10 08:59:38    创建新进程    允许
进程: d:\downloads\maplestoryupdate\maplestoryupdate.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd /c ""C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Gameupdate.bat" "
规则: [应用程序]*

2012-7-10 08:59:43    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: D:\DownLoads\MapleStoryUpdate\MapleStoryUpdate.exe
规则: [应用程序]* -> [文件]*

2012-7-10 08:59:45    删除文件    允许
进程: c:\windows\system32\cmd.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\Gameupdate.bat
规则: [应用程序]* -> [文件]*

消停

完整路径: f:\样本\maplestoryupdate.exe
威胁: Infostealer
____________________________
____________________________
在电脑上的创建时间 不可用
上次使用时间 2012-7-10 ( 9:45:27 )
启动项目 否
已启动 否
____________________________
____________________________
未知
诺顿社区中使用此文件的用户数量: 未知
____________________________
未知
此文件版本当前未知。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
威胁类型: 病毒。 将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。
____________________________
https://att.kafan.cn/forum.php?mo ... Dc5OTA2N3wxMzIzNzEy 已下载文件maplestoryupdate.exe
威胁名称:
Infostealer自
att.kafan.cn
____________________________
文件操作
文件: f:\样本\maplestoryupdate.exe
已删除
____________________________
文件指纹 - SHA:
42d09c8578a0745b3ca6d0e892ff440b0fb80ffb19e92762839b8b9dd3e9afd8
____________________________
文件指纹 - MD5:
3f14656fa9fc8ddba72c78f54a68b265
____________________________

左手

liulangzhecgr 发表于 2012-7-10 09:04
2012-7-10 08:58:11    创建新进程    允许
进程: c:\windows\explorer.exe
目标: d:\downloads\maplesto ...

原来是删除自身的操作。
调用CMD后删除。
呃。
看来不算恶意的样本了。

liulangzhecgr

左手 发表于 2012-7-10 13:17
原来是删除自身的操作。
调用CMD后删除。
呃。

呵呵！ 你的md呢？！

liwnpin

卡巴斯基安全部队
2012
拒绝访问
无法访问该网页

请求对象位于网址：

https://att.kafan.cn/forum.php?mod=
attachment&aid=MTcxMjkzOHwzM2IwNGFjYnwxM
zQxOTAzNjM0fDc4MDE2NnwxMzIzNzEy

检测到威胁：

对象已感染病毒HEUR:Trojan.Win32.Generic

发生时间： 15:00:45