干掉诺顿的敲竹杠样本已经入库

尘梦幽然

昨天@消停 发帖称有严重破坏性敲竹杠样本出现干掉诺顿。http://bbs.kafan.cn/thread-1732151-1-1.html

昨晚12点我顺手把东西上报给自动处理系统了。

今天凌晨6点，我已收到赛门铁克安全响应中心回复。

大家可以联网查杀看看。样本已经在云和本地都添加了特征。如果你没有更新病毒定义，应该是会报WS.Malware.2，如果你已经更新到最新病毒定义，则会报Trojan.Gen

关于该类病毒的Symantec Connect信息：http://www.symantec.com/connect/ ... s-login-credentials

This message is an automatically generated reply -- do not reply to this message.This system is designed to analyze and process suspicious file submissions into Symantec Security Response and cannot accept correspondence or inquiries.


Submission Date        2014-05-13T04:58:59.02
Tracking #        38383065
Submitter        jerry chen
Customer Notes         修改系统时间，诺顿进程被结束。然后修改所有EXE关联为图片查看器，修改系统登录帐号和密码，进行勒索


jerry chen,


We have processed your submission (Tracking #38383065) and your submission is now closed. The following is a report of our findings for the files in your submission:
Submission Summary

Files Submitted
#        Filename        MD5        Determination        Signature Protection Name        RR Seq#
1         051.EXE        0x01E9E9C7C1E6215F1A7F1A40B70D43D1        NewThreat        Trojan.Gen
N/A
Developer Notes:


051.EXE is a non-repairable threat.
Assessment

File1:         051.EXE
MD5:        0x01E9E9C7C1E6215F1A7F1A40B70D43D1
SHA-1:        0x31B3C476640A18A00738E1F0C7D499B842E0A9D4
Machine:        Machine
Determination:        NewThreat
Submission Detail:        This file is detected as Trojan.Gen with our existing certified LiveUpdate definitions.
Signature Protection Name:        Trojan.Gen
Live Update Sequence Number:        153856

This message was generated by Symantec Security Response automation.

Should you have any questions about your submission, please contact our regional technical support from the Symantec Web site, and give them the tracking number included in this message.

Symantec Technical Support

http://www.symantec.com/techsupp/

Sincerely,

Symantec Security Response

欧阳宣

不争气的诺顿

驭龙

那你去样本区拿14号的029吧，那家伙把MA家族都给过了

==========================华丽的分隔线==============================
029，无论是Windows 7 还是Windows 8.1 Update运行以后，自动重新启动系统，并没有改密码，难道因为我没有密码？

Windows 8.1 Update WD 4.5.218版，三百天之前的特征库，运行029，系统重启。


Windows 7 MSE 4.5.216版，最新的特征库，运行029，系统重启。



注：截图过程中暂停过，为了压缩GIF大小

附上，VT扫描
https://www.virustotal.com/zh-cn ... nalysis/1400050207/

尘梦幽然

驭龙 发表于 2014-5-14 18:55
那你去样本区拿14号的029吧，那家伙把MA家族都给过了

==========================华丽的分隔线========= ...

没人中毒或是没有出现漏洞的话就不处理了。留下更多资源给急需的客户吧

尘梦幽然

驭龙 发表于 2014-5-14 18:55
那你去样本区拿14号的029吧，那家伙把MA家族都给过了

==========================华丽的分隔线========= ...

@消停 麻烦测试一下驭龙所说的029样本。看看诺顿什么情况。

驭龙

尘梦幽然 发表于 2014-5-14 19:04
没人中毒或是没有出现漏洞的话就不处理了。留下更多资源给急需的客户吧

嗯，这个029在Windows 7以上的系统上，好像只知道自动关机，而且还不添加启动项，很奇怪，而且也不KILL安软，反正我测的WD安然无恙，只是自动重启动

假茗

驭龙 发表于 2014-5-14 18:55
那你去样本区拿14号的029吧，那家伙把MA家族都给过了

==========================华丽的分隔线========= ...

请问下你是用什么软件抓的GIF图.....??

假茗

哈哈..
我看到你的姓了.......

驭龙

假茗 发表于 2014-5-14 21:06
请问下你是用什么软件抓的GIF图.....??

LICEcap，这个小软件

黑鹰99

这个好！这病毒离我太近了，不安全哪！尘梦坛兄入库速度很快呀