大诺顿今天怎么了....以前好好的，突然把我三国杀都给干掉了..

Qiang-Think

文件名: 三国杀online桌面版.exe
威胁名称: SONAR.SuspBeh!gen3
完整路径: 不可用

____________________________



详细信息
极少用户信任的文件, 新建的文件, 风险 高





原始
下载自
未知





活动
已执行的操作: 32



____________________________



在电脑上的创建时间
2014/9/10 星期三 ( 0:17:33  AM )


上次使用时间
2014/9/10 星期三 ( 0:17:33  AM )


启动项目
否


已启动
是


____________________________


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

新建的文件
该文件已在  7 天 17 天 前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。



____________________________



来源: 外部介质



源文件:
msiexec.exe




创建的文件:
三国杀online桌面版.exe




____________________________

文件操作

文件: d:\Software\sanguoshaair\三国杀online桌面版\ 三国杀online桌面版.exe 需要重新启动
文件: c:\users\administrator\appdata\roaming\sanguoshaair\local store\#applicationupdater\ state.xml 已删除
文件: c:\users\administrator\appdata\local\microsoft\windows\temporary internet files\content.ie5\dmhmtzx0\ update[1].xml 已删除
文件: c:\users\administrator\appdata\local\microsoft\windows\temporary internet files\content.ie5\dmhmtzx0\ sanguosha_3.6.8[1].air 已删除
文件: c:\users\administrator\appdata\roaming\adobe\air\ eulaaccepted 已删除
目录: c:\users\administrator\appdata\local\temp\ flab9ce.tmp 不需要操作
目录: c:\users\administrator\appdata\local\temp\flab9ce.tmp\ meta-inf 不需要操作
目录: c:\users\administrator\appdata\local\temp\flab9ce.tmp\meta-inf\ air 不需要操作
目录: c:\users\administrator\appdata\local\temp\flab9ce.tmp\ assets 不需要操作
目录: c:\users\administrator\appdata\local\temp\flab9ce.tmp\assets\ icon 不需要操作
目录: c:\users\administrator\appdata\local\temp\ flabae8.tmp 不需要操作
目录: c:\users\administrator\appdata\local\temp\flabae8.tmp\ assets 不需要操作
目录: c:\users\administrator\appdata\local\temp\flabae8.tmp\assets\ icon 不需要操作
目录: c:\users\administrator\appdata\local\temp\flabae8.tmp\ meta-inf 不需要操作
目录: c:\users\administrator\appdata\local\temp\flabae8.tmp\meta-inf\ air 不需要操作
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-3834625849-2840396182-985544142-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\S-1-5-21-3834625849-2840396182-985544142-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:..., 注册表配置单元: 64 位 已修复
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\ explorer->GlobalAssocChangedCounter:127, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\S-1-5-21-3834625849-2840396182-985544142-500\Software\Microsoft\RestartManager\ Session0001, 注册表配置单元: 64 位 需要重新启动
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\ explorer->GlobalAssocChangedCounter:128, 注册表配置单元: 64 位 已修复
____________________________

网络操作

事件: 网络活动 (执行者 d:\software\sanguoshaair\三国杀online桌面版\三国杀online桌面版.exe, PID:3668) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 d:\software\sanguoshaair\三国杀online桌面版\三国杀online桌面版.exe, PID:3668) 未采取操作
(执行者 d:\software\sanguoshaair\三国杀online桌面版\三国杀online桌面版.exe, PID:3668) 未采取操作
事件: 进程启动: c:\program files (x86)\common files\adobe air\Versions\1.0\ adobe air application installer.exe, PID:4752 (执行者 d:\software\sanguoshaair\三国杀online桌面版\三国杀online桌面版.exe, PID:3668) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\local\temp\flabae8.tmp\ setup.msi (执行者 d:\software\sanguoshaair\三国杀online桌面版\三国杀online桌面版.exe, PID:3668) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\local\temp\flabae8.tmp\ 三国杀online桌面版.exe (执行者 d:\software\sanguoshaair\三国杀online桌面版\三国杀online桌面版.exe, PID:3668) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\local\temp\flabae8.tmp\ rcxbba4.tmp (执行者 d:\software\sanguoshaair\三国杀online桌面版\三国杀online桌面版.exe, PID:3668) 未采取操作
事件: 进程启动: d:\Software\sanguoshaair\三国杀online桌面版\ 三国杀online桌面版.exe, PID:3668 (执行者 d:\software\sanguoshaair\三国杀online桌面版\三国杀online桌面版.exe, PID:3668) 未采取操作
事件: 进程启动: d:\Software\sanguoshaair\三国杀online桌面版\ 三国杀online桌面版.exe, PID:4940 (执行者 d:\software\sanguoshaair\三国杀online桌面版\三国杀online桌面版.exe, PID:3668) 未采取操作
____________________________

可疑操作

(执行者 d:\software\sanguoshaair\三国杀online桌面版\三国杀online桌面版.exe, PID:3668) 未采取操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 d:\software\sanguoshaair\三国杀online桌面版\三国杀online桌面版.exe, PID:3668) 未采取操作
事件: 辅助功能 API 使用情况 (执行者 d:\software\sanguoshaair\三国杀online桌面版\三国杀online桌面版.exe, PID:3668) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

Qiang-Think

求大神指点该怎么解决~

sogou2004

说明今天你的网路通畅了
只有排除呗 还能咋整

Qiang-Think

sogou2004 发表于 2014-9-10 00:30
说明今天你的网路通畅了
只有排除呗 还能咋整

不能直视啊

尘梦幽然

SONAR.SuspBeh!gen3 is a heuristic detection that is designed to detect suspicious behavior from injected threads.
你如果确信自己的程序是可信来源的话，就加入例外吧。

Qiang-Think

尘梦幽然 发表于 2014-9-10 08:40
SONAR.SuspBeh!gen3 is a heuristic detection that is designed to detect suspicious behavior from inje ...

我不确定啊....只是三国杀一直在玩也没出问题啊，昨晚不知道怎么就给干掉了

lmw8023zz

Qiang-Think 发表于 2014-9-10 14:35
我不确定啊....只是三国杀一直在玩也没出问题啊，昨晚不知道怎么就给干掉了

也可能是你的三国杀开始做小动作了 国产软件什么都有可能，何况是小众国产游戏。植入点后门，哪天开发人员无聊随机在某一用户的计算机上做点小动作，偷窥点隐私什么的，不是没有可能。

欧阳宣

去上报误报吧，看看回复怎么说。

jefffire

lmw8023zz 发表于 2014-9-10 17:15
也可能是你的三国杀开始做小动作了 国产软件什么都有可能，何况是小众国产游戏。植入点后门，哪天开发 ...

可能。。。 何况。。。不是没有可能。。。
这种意淫的话，最好少说为妙：）

另：斯诺登爆料，NSA员工会偷窥截获的裸照：）

lmw8023zz

jefffire 发表于 2014-9-10 20:02
可能。。。 何况。。。不是没有可能。。。
这种意淫的话，最好少说为妙：）

因为我不确定啊，所以只是给LZ一个参考，说说我的想法。