rot.exe（11/47）（更新3X）

墨家小子

2013/9/15        14:45:04        已由访问保护规则禁止         l\AA        C:\Users\AA\Desktop\rot\rot.exe        \REGISTRY\USER\S-1-5-21-1365014606-2440706732-3346255473-1002\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建
2013/9/15        14:45:12        已由访问保护规则禁止         l\AA        C:\Users\AA\Documents\MSDCSC\javaupdates.exe        \REGISTRY\USER\S-1-5-21-1365014606-2440706732-3346255473-1002\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建
2013/9/15        14:45:22        已由访问保护规则禁止         l\AA        C:\Users\AA\Documents\MSDCSC\javaupdates.exe        \REGISTRY\USER\S-1-5-21-1365014606-2440706732-3346255473-1002\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建
2013/9/15        14:45:33        已由访问保护规则禁止         l\AA        C:\Users\AA\Documents\MSDCSC\javaupdates.exe        \REGISTRY\USER\S-1-5-21-1365014606-2440706732-3346255473-1002\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建
2013/9/15        14:45:43        已由访问保护规则禁止         l\AA        C:\Users\AA\Documents\MSDCSC\javaupdates.exe        \REGISTRY\USER\S-1-5-21-1365014606-2440706732-3346255473-1002\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建
2013/9/15        14:45:53        已由访问保护规则禁止         l\AA        C:\Users\AA\Documents\MSDCSC\javaupdates.exe        \REGISTRY\USER\S-1-5-21-1365014606-2440706732-3346255473-1002\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建
2013/9/15        14:46:03        已由访问保护规则禁止         l\AA        C:\Users\AA\Documents\MSDCSC\javaupdates.exe        \REGISTRY\USER\S-1-5-21-1365014606-2440706732-3346255473-1002\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建
2013/9/15        14:46:13        已由访问保护规则禁止         l\AA        C:\Users\AA\Documents\MSDCSC\javaupdates.exe        \REGISTRY\USER\S-1-5-21-1365014606-2440706732-3346255473-1002\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建
2013/9/15        14:46:23        已由访问保护规则禁止         l\AA        C:\Users\AA\Documents\MSDCSC\javaupdates.exe        \REGISTRY\USER\S-1-5-21-1365014606-2440706732-3346255473-1002\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建
2013/9/15        14:46:33        已由访问保护规则禁止         l\AA        C:\Users\AA\Documents\MSDCSC\javaupdates.exe        \REGISTRY\USER\S-1-5-21-1365014606-2440706732-3346255473-1002\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建
2013/9/15        14:46:43        已由访问保护规则禁止         l\AA        C:\Users\AA\Documents\MSDCSC\javaupdates.exe        \REGISTRY\USER\S-1-5-21-1365014606-2440706732-3346255473-1002\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建
2013/9/15        14:46:53        已由访问保护规则禁止         l\AA        C:\Users\AA\Documents\MSDCSC\javaupdates.exe        \REGISTRY\USER\S-1-5-21-1365014606-2440706732-3346255473-1002\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate        通用最大保护:禁止将程序注册为自动运行        已阻止的操作: 创建

lifan88

2013-9-15 14:51:57    创建新进程    允许
进程: d:\windows\explorer.exe
目标: d:\documents and settings\killleer\桌面\rot.exe
命令行: "D:\Documents and Settings\killleer\桌面\rot.exe"
规则: [应用程序]d:\windows\explorer.exe

2013-9-15 14:52:16    读文件 (3)    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: D:\WINDOWS\WindowsShell.Manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2013-9-15 14:52:17    读文件    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: D:\Documents and Settings\killleer\桌面\rot.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:52:19    创建新进程    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: d:\documents and settings\killleer\桌面\rot.exe
命令行: "D:\Documents and Settings\killleer\桌面\rot.exe"
规则: [应用程序]*

2013-9-15 14:52:20    读文件    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: D:\Documents and Settings\killleer\桌面\rot.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:52:22    读文件 (3)    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: D:\WINDOWS\WindowsShell.Manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2013-9-15 14:52:23    读文件    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: D:\Documents and Settings\killleer\桌面\rot.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:52:45    创建文件夹    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: D:\Documents and Settings\killleer\My Documents\MSDCSC
规则: [文件]*

2013-9-15 14:52:46    读文件    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: D:\Documents and Settings\killleer\桌面\rot.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:52:47    创建文件    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:52:48    读文件    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:52:50    修改注册表值    阻止
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate
值: D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2013-9-15 14:52:53    修改注册表值    阻止
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit
值: D:\WINDOWS\system32\userinit.exe,D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon; Userinit

2013-9-15 14:52:55    读文件    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:52:56    设置文件隐藏属性    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:52:58    设置文件夹隐藏属性    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: D:\Documents and Settings\killleer\My Documents\MSDCSC
规则: [文件]*

2013-9-15 14:52:59    修改其他进程的内存    允许
进程: d:\windows\system32\csrss.exe
目标: d:\documents and settings\killleer\桌面\rot.exe
规则: [应用程序]d:\windows\system32\csrss.exe

2013-9-15 14:53:04    创建新进程    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: d:\windows\system32\cmd.exe
命令行: "D:\WINDOWS\system32\cmd.exe" /k attrib "D:\Documents and Settings\killleer\桌面\rot.exe" +s +h
规则: [应用程序]d:\windows\system32\cmd.exe

2013-9-15 14:53:07    创建新进程    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: d:\windows\system32\cmd.exe
命令行: "D:\WINDOWS\system32\cmd.exe" /k attrib "D:\Documents and Settings\killleer\桌面" +s +h
规则: [应用程序]d:\windows\system32\cmd.exe

2013-9-15 14:53:29    创建新进程    允许
进程: d:\windows\system32\cmd.exe
目标: d:\windows\system32\attrib.exe
命令行: attrib "D:\Documents and Settings\killleer\桌面\rot.exe" +s +h
规则: [应用程序]d:\windows\system32\cmd.exe

2013-9-15 14:53:32    创建新进程    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: d:\windows\system32\notepad.exe
命令行: notepad
规则: [应用程序]*

2013-9-15 14:53:33    创建新进程    允许
进程: d:\windows\system32\cmd.exe
目标: d:\windows\system32\attrib.exe
命令行: attrib "D:\Documents and Settings\killleer\桌面" +s +h
规则: [应用程序]d:\windows\system32\cmd.exe

2013-9-15 14:54:07    设置文件夹隐藏属性    阻止
进程: d:\windows\system32\attrib.exe
目标: D:\Documents and Settings\killleer\桌面
规则: [文件]*

2013-9-15 14:54:11    设置文件隐藏属性    允许
进程: d:\windows\system32\attrib.exe
目标: D:\Documents and Settings\killleer\桌面\rot.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:54:48    修改其他进程的内存 (25)    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: d:\windows\system32\notepad.exe
规则: [应用程序]*

2013-9-15 14:54:54    在其他进程中创建线程    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: d:\windows\system32\notepad.exe
规则: [应用程序]*

2013-9-15 14:55:03    读文件    允许
进程: d:\windows\system32\notepad.exe
目标: D:\Documents and Settings\killleer\桌面\rot.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:55:06    删除文件    阻止
进程: d:\windows\system32\notepad.exe
目标: D:\Documents and Settings\killleer\桌面\rot.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:55:27    读文件    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:55:29    创建新进程    允许
进程: d:\documents and settings\killleer\桌面\rot.exe
目标: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
命令行: "D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe"
规则: [应用程序]*

2013-9-15 14:55:37    读文件 (3)    允许
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: D:\WINDOWS\WindowsShell.Manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2013-9-15 14:55:38    读文件    允许
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:55:39    创建新进程    允许
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
命令行: "D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe"
规则: [应用程序]*

2013-9-15 14:55:49    读文件    允许
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2013-9-15 14:55:51    读文件 (3)    允许
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: D:\WINDOWS\WindowsShell.Manifest
规则: [文件组]所有执行文件 -> [文件]*; *.manifest

2013-9-15 14:56:02    修改注册表值    阻止
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate
值: D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2013-9-15 14:56:06    创建新进程    允许
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: d:\windows\system32\notepad.exe
命令行: notepad
规则: [应用程序]*

2013-9-15 14:56:16    修改其他进程的内存    允许
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: d:\windows\system32\notepad.exe
规则: [应用程序]*

2013-9-15 14:56:17    修改注册表值    阻止
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate
值: D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2013-9-15 14:56:19    在其他进程中创建线程    允许
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: d:\windows\system32\notepad.exe
规则: [应用程序]*

2013-9-15 14:56:24    安装全局消息钩子    允许
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
钩子类型: WH_KEYBOARD_LL
规则: [应用程序]*

2013-9-15 14:56:30    访问网络    阻止
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: TCP [本机 : 1335] ->  [85.255.204.33 : 25 (smtp)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2013-9-15 14:56:32    读文件    允许
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: D:\Documents and Settings\killleer\Application Data\desktop.ini
规则: [文件组]所有执行文件 -> [文件]*; *.ini

2013-9-15 14:56:34    修改注册表值    阻止
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\WinUpdate
值: D:\Documents and Settings\killleer\My Documents\MSDCSC\javaupdates.exe
规则: [注册表组]自动运行程序所在位置 -> [注册表]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\*

2013-9-15 14:56:38    创建文件夹    允许
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: D:\Documents and Settings\killleer\Application Data\dclogs
规则: [文件]*

2013-9-15 14:57:06    创建文件    允许
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: D:\Documents and Settings\killleer\Application Data\dclogs\2013-09-15-1.dc
规则: [文件组]所有执行文件 -> [文件]*; *.*

2013-9-15 14:57:10    读文件    允许
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: D:\Documents and Settings\killleer\Application Data\dclogs\2013-09-15-1.dc
规则: [文件组]所有执行文件 -> [文件]*; *.*

2013-9-15 14:57:22    访问网络    阻止并结束进程
进程: d:\documents and settings\killleer\my documents\msdcsc\javaupdates.exe
目标: TCP [本机 : 1347] ->  [85.255.204.33 : 25 (smtp)]
规则: [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

wqcaokeyinwq

蓝天二号

大师兄

消停

文件名: rot.exe
威胁名称: SONAR.Heuristic.110
完整路径: 不可用

____________________________



详细信息
极少用户信任的文件,  极新的文件,  风险 高





原始
下载自
 未知





活动
已执行的操作: 11



____________________________



在电脑上的创建时间 
2013-9-16 ( 9:56:21 )


上次使用时间 
2013-9-16 ( 9:56:21 )


启动项目 
否


已启动 
是


____________________________


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。



____________________________



来源: 外部介质



源文件:
rot.exe




____________________________

文件操作

文件: f:\norton样本\ rot.exe 已删除
文件: d:\my documents\msdcsc\ javaupdates.exe 已删除
文件: c:\Users\administrator\AppData\LocalLow\SogouPY\components\ componentconfig.ini 已删除
目录: d:\my documents\ msdcsc 已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\ SogouInput.user->SogouComponentFirstLoad:1379296568 已修复
注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\ DC3_FEXEC 已删除
注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\Microsoft\Windows\CurrentVersion\ Run->WinUpdate 已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon->UserInit:C:\Windows\system32\ userinit.exe, 已修复
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\rot.exe, PID:3488) 未采取操作
事件: 进程启动: f:\norton样本\ rot.exe, PID:1080 (执行者 f:\norton样本\rot.exe, PID:3488) 未采取操作
事件: PE 文件创建: d:\my documents\msdcsc\ javaupdates.exe (执行者 f:\norton样本\rot.exe, PID:1080) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

ppy0606

sbbdms

Updated

sbbdms

Updated

yuzhi3366853

行为挺多的

XywCloud

新来的两个样本被百度杀毒国际版云端全歼。