用norton10多天了，还没见过sonar，所以去样本区双击了,最新更新,貌似出问题了

显示全部楼层 · 发表于 2013-2-23 00:24:47

本帖最后由 wuhangju 于 2013-2-24 23:14 编辑

用norton10多天了，还没见过sonar，所以去样本区双击了

我先是看了这个帖子，确定sonar能报收双击的
http://bbs.kafan.cn/forum.php?mod=viewthread&tid=1424824

我就下载了几个试试，其中
http://bbs.kafan.cn/thread-1423128-1-1.html
这玩意sonar没报，也过了扫描。

另外有些sonar报了，但还没有入库，2个月前的文件为什么没入库，社区里都有文件信息了
那个best.exe，社区还是写的bad.
双击后文件消失了。

我是有点不明白了.

每次重启都有这个,是这个病毒的原因吗?

2月24日晚,入库查杀了

显示全部楼层 · 发表于 2013-2-23 09:04:46

木马客户端就是这样，可以双击后消失

显示全部楼层 · 发表于 2013-2-23 09:14:54

展示一下发表于 2013-2-23 09:04
木马客户端就是这样，可以双击后消失

请教一下，那个双击后消失是怎么回事。是已经中木马了吗

显示全部楼层 · 发表于 2013-2-23 09:18:38

about4656 发表于 2013-2-23 09:14
请教一下，那个双击后消失是怎么回事。是已经中木马了吗

不一定！

显示全部楼层 · 发表于 2013-2-23 09:32:09

win7 32位
完整路径: 不可用
威胁: SONAR.ProcHijack!gen3
____________________________
____________________________

在电脑上的创建时间
2013/2/23 ( 9:27:39 )

上次使用时间
2013/2/23 ( 9:27:39 )

启动项目
否

已启动
是

____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
发布已久的文件
该文件已在 31 天2 个月前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

文件来源树



winrar.exe

best.exe

____________________________
文件操作
best.exe
已删除
____________________________
系统设置操作
未采取操作
applaunch.exe
未采取操作
best.exe
未采取操作

平均资源使用率:
低

平均CPU 使用率:
低

平均内存使用率:
低

____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

显示全部楼层 · 发表于 2013-2-23 10:13:12

about4656 发表于 2013-2-23 09:14
请教一下，那个双击后消失是怎么回事。是已经中木马了吗

如果你用过灰鸽子，配置过客户端的话你就会发现配到最后可以有选择人家双击木马后程序消失，保险起见你可以扫描一下。

显示全部楼层 · 发表于 2013-2-23 12:22:48

ywsuda 发表于 2013-2-23 09:32
win7 32位
完整路径: 不可用
威胁: SONAR.ProcHijack!gen3

我win8 x64 没反应，貌似就生成了C:\Documents and Settings\Administrator\Templates\explorer.exe
其他没什么感觉，就算没起作用，伪装explorer.exe，也是明显的病毒特征啊

显示全部楼层 · 发表于 2013-2-23 15:16:17

xp32位系统

完整路径: 不可用
威胁: SONAR.Heuristic
____________________________
____________________________
在电脑上的创建时间 2013-2-23 ( 11:10:54 )
上次使用时间 2013-2-23 ( 11:10:54 )
启动项目否
已启动是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
发布已久的文件
该文件已在 31 天2 个月前发行。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

源文件:
winrar.exe

创建的文件:
best.exe
____________________________
文件操作
文件: f:\norton样本\best.exe
已删除
____________________________
系统设置操作
事件: PE 文件创建: c:\documents and settings\administrator\templates\explorer.exe (执行者 f:\norton样本\best.exe, PID:5252)
未采取操作
事件: 进程启动 (执行者 f:\norton样本\best.exe, PID:5252)
未采取操作
事件: 进程启动: f:\norton样本\best.exe, PID:5252 (执行者 f:\norton样本\best.exe, PID:5252)
未采取操作
平均资源使用率:未知平均CPU 使用率:未知平均内存使用率:未知
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________

显示全部楼层 · 发表于 2013-2-23 16:23:42

消停发表于 2013-2-23 15:16
xp32位系统

真的是因为我是win8 x64的原因？2个月了不入库是干什么？

显示全部楼层 · 发表于 2013-2-23 19:10:23

wuhangju 发表于 2013-2-23 16:23
真的是因为我是win8 x64的原因？2个月了不入库是干什么？

可能样本在你那里很多行为跑不出来！诺顿入库慢你就不要纠结了，可能没有人上报！就算上报了几个月不入库也不奇怪！纠结入库就别和诺顿玩了！

[讨论] 用norton10多天了，还没见过sonar，所以去样本区双击了,最新更新,貌似出问题了

本帖子中包含更多资源