敲竹杠+病毒样本+habo分析报告

岁月神偷7

样本MD5：
dfaf8219d2a34407074facb8b4039029

哈勃自动分析报告：
http://habo.qq.com/file/showdeta ... 407074facb8b4039029

样本下载地址：
http://pan.baidu.com/s/1bnxnIGJ
提取码：
oi52

行为描述：
        该样本创建全屏窗口屏蔽用户输入，并且修改开机密码使用户重启仍然无法登陆操作系统，然后向用户敲诈。

1.        程序修改注册表禁用任务管理器，防止用户通过任务管理器杀掉进程。
        \REGISTRY\MACHINE\SOFTWARE\Classes\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
        \REGISTRY\MACHINE\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Policies\System\DisableTaskMgr
        \REGISTRY\USER\S-1-5-21-1482476501-1645522239-1417001333-500\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr


2.        添加管理员用户，修改登录密码，使用户重启后仍然无法进入系统。




3.        隐藏下列窗口
[Window,Class] = [,Shell_TrayWnd]，桌面下方的工具条。

[Window,Class] = [Program Manager,Progman]，桌面listview的父窗口。

[Window,Class] = [10:32,TrayClockWClass]，右下角时间窗口

[Window,Class] = [开始,Button]，开始按钮。


4.        创建全屏窗口接收用户输入。

WS_EX_TOOLWINDOW，带有这个属性的窗口有以下特点：
1. 不在任务栏显示。
2. 不显示在Alt+Tab的切换列表中。
3. 在任务管理器的窗口管理Tab中不显示。
然后用SetWindowPos将窗口放到顶层，这样用户就无法打开别的窗口。

Hertz

EAM9报Trojan.Ransom.AGH (B)

XywCloud

bav启发杀
费尔扫描杀

驭龙

Kaspersky 2015 Kill

蓝天二号

猎豹




诺顿
文件名: dfaf8219d2a34407074facb8b4039029
威胁名称: Suspicious.Cloud.7.L
完整路径: c:\users\chen wei\desktop\新建文件夹\dfaf8219d2a34407074facb8b4039029

____________________________



详细信息
未知的社区使用情况,  未知的文件存在时间,  风险 高





原始
下载自
 未知





活动
已执行的操作: 已执行的操作: 1



____________________________



在电脑上的创建时间 
不可用


上次使用时间 
2014/7/18 ( 8:31:58 )


启动项目 
否


已启动 
否


____________________________


未知
诺顿社区中使用了此文件的用户数 未知。

未知
此文件版本当前 未知。

高
此文件具有高风险。

威胁类型: 启发式病毒。 根据恶意软件启发式技术检测威胁。



____________________________



来源: 外部介质



____________________________

文件操作

文件: c:\users\chen wei\desktop\新建文件夹\ dfaf8219d2a34407074facb8b4039029 已删除
____________________________


文件指纹 - SHA:
6c0aa9439608e50088aa9c0b2910f64c3eb1b30389d52080b16f8eb8bfc3fe2c
文件指纹 - MD5:
不可用

落漠

cn86li

星猫

avira kill

潘中医

扫描火绒杀