敲竹杠，来一枚

Qutianshang

喜欢双击的试试

fzshot

To Dr.Web

Threat: Trojan.DownLoader11.19440

jayavira

vm001

360不用测试了..这肯定能拦截

蓝天二号

文件名: CF晨风透视、穿墙外{过}{滤}挂.exe
完整路径: C:\Users\chen wei\Desktop\新建文件夹\CF晨风透视、穿墙外{过}{滤}挂.exe

____________________________



详细信息
稳定性未知,  极少用户信任的文件,  极新的文件,  未知





原始
下载自 
未知





活动
已执行的操作: 已执行的可疑操作: 无



____________________________



开发人员 
不可用


版本 
1.0.0.0


已识别 
2014/7/1 ( 8:01:48 )


上次使用时间 
不可用


启动项目 
否


____________________________


未知
此程序的崩溃历史记录未知。

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

未知
有关此文件的信息不足，无法推荐它。


____________________________





源文件:
haozip.exe




创建的文件:
cf晨风透视、穿墙外{过}{滤}挂.exe




____________________________


文件指纹 - SHA:
c98b4a5248ccf6aca52468b82c8cdbdf56f772c2e5c7df57ba8896e52d929cf9
文件指纹 - MD5:
ceb4b22a4643dc606e2189fbae73f46a

hddu

2014-07-01 08:38:13    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\CF晨风透视、穿墙外{过}{滤}挂\CF晨风透视、穿墙外{过}{滤}挂.exe
文件路径:C:\windows\SkinH_EL.dll
触发规则:所有程序规则->WINDOWS文件设置->%windir%\*.dll


2014-07-01 08:38:13    修改文件      操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\CF晨风透视、穿墙外{过}{滤}挂\CF晨风透视、穿墙外{过}{滤}挂.exe
文件路径:(隐藏文件)C:\WINDOWS\SkinH_EL.dll
触发规则:所有程序规则->WINDOWS文件设置->%windir%\*.dll


2014-07-01 08:38:16    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\CF晨风透视、穿墙外{过}{滤}挂\CF晨风透视、穿墙外{过}{滤}挂.exe
文件路径:C:\WINDOWS\ME
触发规则:所有程序规则->WINDOWS全局设置->%windir%\*


2014-07-01 08:38:16    创建文件      操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\Administrator\桌面\CF晨风透视、穿墙外{过}{滤}挂\CF晨风透视、穿墙外{过}{滤}挂.exe
文件路径:C:\WINDOWS\ME\梦魇模块.ico
触发规则:所有程序规则->WINDOWS文件设置->%windir%\*.ico


2014-07-01 08:38:16    创建文件      操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\Administrator\桌面\CF晨风透视、穿墙外{过}{滤}挂\CF晨风透视、穿墙外{过}{滤}挂.exe
文件路径:C:\WINDOWS\ME\梦魇源码.ico
触发规则:所有程序规则->WINDOWS文件设置->%windir%\*.ico


2014-07-01 08:38:16    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\Documents and Settings\Administrator\桌面\CF晨风透视、穿墙外{过}{滤}挂\CF晨风透视、穿墙外{过}{滤}挂.exe
注册表路径:HKEY_CLASSES_ROOT\.ec\DefaultIcon
注册表名称:[Default]
触发规则:所有程序规则->文件类型关联->HKEY_CLASSES_ROOT\.*


2014-07-01 08:38:59    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\CF晨风透视、穿墙外{过}{滤}挂\CF晨风透视、穿墙外{过}{滤}挂.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c net user "Administrator" "buzhidao."
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2014-07-01 08:38:59    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:user "Administrator" "buzhidao."
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe


2014-07-01 08:39:03    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\CF晨风透视、穿墙外{过}{滤}挂\CF晨风透视、穿墙外{过}{滤}挂.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c wmic useraccount where name='Administrator' call Rename "想知道密码就加QQ2926441315"
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2014-07-01 08:39:05    创建文件      操作:允许
进程路径:C:\WINDOWS\system32\wbem\wmic.exe
文件路径:C:\Documents and Settings\Administrator\桌面\CF晨风透视、穿墙外{过}{滤}挂\TempWmicBatchFile.bat
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\桌面\*


2014-07-01 08:39:05    删除注册表      操作:阻止
进程路径:C:\WINDOWS\system32\lsass.exe
注册表路径:HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\Administrator
注册表名称:[Key]
触发规则:应用程序规则->系统程序(一)->%windir%\system32\lsass.exe->HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account*


2014-07-01 08:39:08    创建注册表值      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\CF晨风透视、穿墙外{过}{滤}挂\CF晨风透视、穿墙外{过}{滤}挂.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList
注册表名称:想知道密码就加QQ2926441315
触发规则:应用程序规则->WinLogon设置->?:\*->*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon*


2014-07-01 08:39:11    运行应用程序      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\CF晨风透视、穿墙外{过}{滤}挂\CF晨风透视、穿墙外{过}{滤}挂.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c net user "想知道密码就加QQ2926441315" "buzhidao."
触发规则:所有程序规则->系统程序设置->%windir%\system32\cmd.exe


2014-07-01 08:39:11    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\system32\cmd.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:user "想知道密码就加QQ2926441315" "buzhidao."
触发规则:所有程序规则->系统程序设置->%windir%\system32\net*.exe


2014-07-01 08:39:12    关闭/重启系统      操作:允许
进程路径:C:\Documents and Settings\Administrator\桌面\CF晨风透视、穿墙外{过}{滤}挂\CF晨风透视、穿墙外{过}{滤}挂.exe

触发规则:所有程序规则->*


2014-07-01 08:39:12    关闭/重启系统      操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\CF晨风透视、穿墙外{过}{滤}挂\CF晨风透视、穿墙外{过}{滤}挂.exe

触发规则:所有程序规则->*

fuzhk

释放批处理，然后打开



VSE miss

MrDeep

已上报BD

消停

蓝天二号 发表于 2014-7-1 08:36
文件名: CF晨风透视、穿墙外{过}{滤}挂.exe
完整路径: C:\Users\chen wei\Desktop\新建文件夹\CF晨风透视 ...

SONAR删除文件，但密码被改了！

文件名: cf晨风透视、穿墙外{过}{滤}挂.exe
威胁名称: SONAR.Heuristic.120
完整路径: 不可用
____________________________

详细信息
极少用户信任的文件,  极新的文件,  风险 高

原始
下载自
 未知

活动
已执行的操作: 9
____________________________



在电脑上的创建时间 
2014-7-1 ( 11:16:13 )

上次使用时间 
2014-7-1 ( 11:16:13 )

启动项目 
否

已启动 
是
____________________________

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

来源: 外部介质

源文件:
cf晨风透视、穿墙外{过}{滤}挂.exe
____________________________

文件操作

文件: f:\norton样本\临时收集\ cf晨风透视、穿墙外{过}{滤}挂.exe 已删除
文件: c:\windows\me\ 梦魇模块.ico 已删除
目录: c:\Windows\ ME 需要重新启动
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1071228153-3121885108-811120218-500\Software\ SogouInput.user->SogouComponentFirstLoad:1404184569 已修复
注册表更改: HKEY_CLASSES_ROOT\ .ec 已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\cf晨风透视、穿墙外{过}{滤}挂.exe, PID:3376) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:424 (执行者 f:\norton样本\临时收集\cf晨风透视、穿墙外{过}{滤}挂.exe, PID:3376) 未采取操作
事件: PE 文件创建: c:\windows\ skinh_el.dll (执行者 f:\norton样本\临时收集\cf晨风透视、穿墙外{过}{滤}挂.exe, PID:3376) 未采取操作
____________________________

可疑操作

(执行者 f:\norton样本\临时收集\cf晨风透视、穿墙外{过}{滤}挂.exe, PID:3376) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

df741852hn

360卫士下载未知扫描过，没开QVM，无红伞