初现獠牙的SAPE启发！

显示全部楼层 · 发表于 2014-11-20 15:56:00

本帖最后由胖福于 2014-11-20 15:57 编辑

这个东西太他娘的高效了，要是能一直保持就好了，一个 SAPE.Heur.2d4d直接摆平91个样本，之前特征码基本一条只能报一个！一不小心开启发结果损失惨重。目前这类报法似乎主要还是针对各种PUP，Adware之类的，对于Zbot一类的目前还没见过这个报法，可能是由于这类病毒入库太快，被特征码优先检测了。不知道这家伙究竟是怎么回事，这货到底是是通用特征码还是应急码，实在厉害。

文件名: 1 (253).exe
威胁名称: SAPE.Heur.2d4d完整路径: f:\norton样本\optimuminstaller\1 (253).exe
____________________________
____________________________
____________________________

1 (253).exe 威胁名称: SAPE.Heur.2d4d
定位

极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。
____________________________

来源: 外部介质

源文件:
1 (253).exe
____________________________

文件操作

受感染文件: f:\norton样本\optimuminstaller\ 1 (253).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (250).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (255).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (267).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (289).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (251).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (268).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (295).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (259).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (300).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (312).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (302).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (3).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (313).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (314).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (331).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (316).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (325).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (293).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (328).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (342).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (332).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (351).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (343).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (33).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (340).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (36).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (344).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (43).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (341).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (41).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (58).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (69).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (74).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (55).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (7).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (75).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (57).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (83).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (72).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (91).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (98).exe 已删除
____________________________

文件指纹 - SHA:
b48bf5c4dbe0a1fb21844580302d51dd102712977b2de25cab46a417740c5822
文件指纹 - MD5:
不可用

文件名: 1 (101).exe
威胁名称: SAPE.Heur.2d4d完整路径: f:\norton样本\optimuminstaller\1 (101).exe
____________________________
____________________________
____________________________

1 (101).exe 威胁名称: SAPE.Heur.2d4d
定位

极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。
____________________________

来源: 外部介质

源文件:
1 (101).exe
____________________________

文件操作

受感染文件: f:\norton样本\optimuminstaller\ 1 (101).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (102).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (1).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (107).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (114).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (115).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (109).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (119).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (116).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (12).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (110).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (14).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (122).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (151).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (135).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (140).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (153).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (157).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (142).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (136).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (154).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (162).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (138).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (145).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (164).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (171).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (2).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (165).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (200).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (197).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (180).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (198).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (206).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (214).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (182).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (221).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (215).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (225).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (46).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (218).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (77).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (237).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (232).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (239).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (245).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (32).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (233).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (241).exe 已删除
受感染文件: f:\norton样本\optimuminstaller\ 1 (246).exe 已删除
____________________________

文件指纹 - SHA:
9d15608fd607de4d919d8fd35720ab4795130d75916218bf886bfe1c75bc83a7
文件指纹 - MD5:
不可用

对比一下检测同类样本时Suspicious.Epi.3的报法，基本一次只能检测一个

文件名: 1 (202).exe
威胁名称: Suspicious.Epi.3完整路径: f:\norton样本\optimuminstaller\1 (202).exe
____________________________
____________________________
____________________________

1 (202).exe 威胁名称: Suspicious.Epi.3
定位

极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。
____________________________

来源: 外部介质

源文件:
1 (202).exe
____________________________

文件操作

受感染文件: f:\norton样本\optimuminstaller\ 1 (202).exe 已删除
____________________________

文件指纹 - SHA:
6124696fe81dd5a1eb6a7170b269e0ef49ec89ad8c927daa52cb143f16fae09f
文件指纹 - MD5:
不可用

显示全部楼层 · 发表于 2014-11-20 17:53:28

额，你这么一说，我又想用Norton了，杀软综合征啊。每款杀软都有自己的闪光点

显示全部楼层 · 发表于 2014-11-20 18:19:41

这是22吧？

显示全部楼层 · 发表于 2014-11-20 18:21:48

果然这个才是诺顿的新杀器

显示全部楼层 · 发表于 2014-11-20 19:51:03

诺顿21有吗

显示全部楼层 · 发表于 2014-11-20 20:00:40

不知道这个启发什么时候能覆盖到更多的真实世界威胁，现在好像只出现于小部分国际样本

显示全部楼层 · 发表于 2014-11-20 20:18:35

看看，哪款有。

显示全部楼层 · 发表于 2014-11-20 20:40:06

bbszy 发表于 2014-11-20 19:51
诺顿21有吗

已知21,22版都有！

显示全部楼层 · 发表于 2014-11-20 22:56:46

挑戰 nod32 的節奏

显示全部楼层 · 发表于 2014-11-21 00:49:23

又心痒了。。。。

[讨论] 初现獠牙的SAPE启发！