给bd

雪白方糖

墨家小子 发表于 2014-10-27 16:30
重启之后微点能不能杀那个启动项

    http://habo.qq.com/file/showdetail?pk=ADwGYF1vB2Y=  哈勃没跑出来还是这个文件没风险

雪白方糖

墨家小子 发表于 2014-10-27 16:30
重启之后微点能不能杀那个启动项

          还没重启呢  不急

QQ1014530747

jayavira 发表于 2014-10-27 16:05

几十年没见了。

墨家小子

雪白方糖 发表于 2014-10-27 16:42
还没重启呢  不急

come on 北鼻

jayavira

QQ1014530747 发表于 2014-10-27 16:46
几十年没见了。

呵呵
我天天在呢，换了头像就不认得了啊

墨家小子

雪白方糖 发表于 2014-10-27 16:37
http://habo.qq.com/file/showdetail?pk=ADwGYF1vB2Y=  哈勃没跑出来还是这个文件没风险

你还是真让人捉急呢

2014/10/27 17:00:25,C:\ProgramData\CreativeAudio\iuznffnsd.exe,47,Blocked ;Creating alternate

data stream (C:\ProgramData\CreativeAudio\iuznffnsd.exe:Zone.Identifier)

2014/10/27 17:00:26,C:\ProgramData\CreativeAudio\iuznffnsd.exe,53,Blocked ;Execution of an

application ("C:\Windows\System32\schtasks.exe" /CREATE /SC ONLOGON /TN "Windows

Update Check - 0x0E7302EC" /TR "C:\ProgramData\CreativeAudio\iuznffnsd.exe" /RL HIGHEST)

2014/10/27 17:00:28,C:\ProgramData\CreativeAudio\iuznffnsd.exe,26,Blocked ;Modifying

protected registry key (HKCU\Software\Classes\CLSID\{A30675C2-6BF9-E946-9379-

4BC67D8BB26D}\0E7302EC\CG1)

2014/10/27 17:00:30,C:\ProgramData\CreativeAudio\iuznffnsd.exe,26,Blocked ;Modifying

protected registry key (HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File

Execution Options\iuznffnsd.exe,DisableExceptionChainValidation)

2014/10/27 17:00:35,C:\ProgramData\CreativeAudio\iuznffnsd.exe,53,Allowed ;Execution of an

application ("C:\Windows\SysWOW64\WerFault.exe")

2014/10/27 17:00:37,C:\Windows\SysWOW64\WerFault.exe,26,Blocked ;Modifying protected

registry key (HKCU\Software\Microsoft\Internet Explorer\Main,Isolation)

2014/10/27 17:00:37,C:\Windows\SysWOW64\WerFault.exe,26,Blocked ;Modifying protected

registry key (HKCU\Software\Classes\CLSID\{A30675C2-6BF9-E946-9379-

4BC67D8BB26D}\0E7302EC\CS1)

2014/10/27 17:00:38,C:\Windows\SysWOW64\WerFault.exe,26,Blocked ;Modifying protected

registry key (HKCU\Software\Classes\CLSID\{A30675C2-6BF9-E946-9379-

4BC67D8BB26D}\0E7302EC\CS1)

2014/10/27 17:00:39,C:\Windows\SysWOW64\WerFault.exe,26,Blocked ;Modifying protected

registry key (HKCU\Software\Classes\CLSID\{A30675C2-6BF9-E946-9379-

4BC67D8BB26D}\0E7302EC\CS1)

2014/10/27 17:00:40,C:\Windows\SysWOW64\WerFault.exe,26,Blocked ;Modifying protected

registry key (HKCU\Software\Classes\CLSID\{A30675C2-6BF9-E946-9379-

4BC67D8BB26D}\0E7302EC\CS1)

2014/10/27 17:00:41,C:\Windows\SysWOW64\WerFault.exe,26,Blocked ;Modifying protected

registry key (HKCU\Software\Classes\CLSID\{A30675C2-6BF9-E946-9379-

4BC67D8BB26D}\0E7302EC\CW1)

2014/10/27 17:00:42,C:\Windows\SysWOW64\WerFault.exe,26,Blocked ;Modifying protected

registry key (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2014/10/27 17:00:44,C:\Windows\SysWOW64\WerFault.exe,40,Blocked ;Opening process or

thread for modify access (wininit.exe(pid=576))

2014/10/27 17:00:47,C:\Windows\SysWOW64\WerFault.exe,26,Blocked ;Modifying protected

registry key (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2014/10/27 17:00:48,C:\Windows\SysWOW64\WerFault.exe,50,Blocked ;Accessing the network

via DNSResolver service

2014/10/27 17:00:49,C:\Windows\SysWOW64\WerFault.exe,48,Blocked ;Outgoing network access

2014/10/27 17:00:51,C:\Windows\SysWOW64\WerFault.exe,26,Blocked ;Modifying protected

registry key (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2014/10/27 17:00:53,C:\Windows\SysWOW64\WerFault.exe,47,Blocked ;Creating alternate data

stream (C:\ProgramData\CreativeAudio\iuznffnsd.exe:Zone.Identifier)

2014/10/27 17:00:58,C:\Windows\SysWOW64\WerFault.exe,26,Terminated ;Modifying protected

registry key (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

欧阳宣

"C:\Users\winter0614\Desktop\杂\Torrent\E2BD.tmp"        "Artemis!53617CF3BA03"

胖福

文件名: bet40a4.exe
威胁名称: SONAR.SelfHijack!gen1
完整路径: 不可用

____________________________



详细信息
极少用户信任的文件,  极新的文件,  风险 高





原始
下载自
 未知





活动
已执行的操作: 6



____________________________



在电脑上的创建时间 
2014-10-27 ( 17:50:43 )


上次使用时间 
2014-10-27 ( 17:50:43 )


启动项目 
否


已启动 
是


____________________________


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。



____________________________



来源: 外部介质



源文件:
bet40a4.exe




____________________________

文件操作

文件: f:\norton样本\临时收集\ bet40a4.exe 已删除
事件: 正在运行进程: f:\norton样本\临时收集\ bet40a4.exe 已终止
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\bet40a4.exe, PID:3416) 未采取操作
(执行者 f:\norton样本\临时收集\bet40a4.exe, PID:3416) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ bet40a4.exe, PID:1008 (执行者 f:\norton样本\临时收集\bet40a4.exe, PID:3416) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ bet40a4.exe, PID:3416 (执行者 f:\norton样本\临时收集\bet40a4.exe, PID:3416) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

诸葛亮

红伞TR/Betabot.A.274 Trojan

b573684723

好压EAV火绒扫描KILL