QQ上收到的，你们来鉴定下。我没敢实机测试。

wwwmjrcom

360杀

wqcaokeyinwq

双击后，母体自动退出，打开一张图片，随机衍生物.TMP临时文件。。。。无联网行为。。。无伪装登录框


可能不是QQ黏虫！

蓝天二号

KIS miss  上报

pal家族

文件名: 有这款产品吗.exe
威胁名称: SONAR.Heuristic.120完整路径: 不可用

____________________________

____________________________



____________________________


有这款产品吗.exe 威胁名称: SONAR.Heuristic.120
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
winrar-x64-520sc-5.20.0.0.exe

创建的文件:
winrar.exe

创建的文件:
有这款产品吗.exe

____________________________

文件操作

文件: f:\搜狗高速下载\有这款产品吗\ 有这款产品吗.exe 威胁已删除
文件: c:\users\ge60\appdata\local\temp\ sbxgweko.jpg 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\搜狗高速下载\有这款产品吗\有这款产品吗.exe, PID:3288) 未采取操作
(执行者 f:\搜狗高速下载\有这款产品吗\有这款产品吗.exe, PID:3288) 未采取操作
事件: 进程启动: c:\program files (x86)\acd systems\ACDSee\15.0\ acdseeqv15.exe, PID:4760 (执行者 f:\搜狗高速下载\有这款产品吗\有这款产品吗.exe, PID:3288) 未采取操作
事件: PE 文件创建: c:\users\ge60\appdata\local\temp\ 4a77.tmp (执行者 f:\搜狗高速下载\有这款产品吗\有这款产品吗.exe, PID:3288) 未采取操作
事件: 进程启动: f:\搜狗高速下载\有这款产品吗\ 有这款产品吗.exe, PID:3288 (执行者 f:\搜狗高速下载\有这款产品吗\有这款产品吗.exe, PID:3288) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

saga3721

文件 ID         文件名         大小(字节)         结果
28358352         %E6%9C%89%E8%BF%99...97.7z         203.25 KB         OK

以下位置提供了存档中包含的文件及其结果的列表:
文件 ID         文件名         大小(字节)         结果
28358353         有这款产品吗.exe         3.64 MB         UNDER ANALYSIS

幽冥の龙

wqcaokeyinwq 发表于 2014-12-17 18:46
双击后，母体自动退出，打开一张图片，随机衍生物.TMP临时文件。。。。无联网行为。。。无伪装登录框

TMP就是假登入框程序，让它运行的话打开QQ就会弹假窗口
现在的粘虫都不先联网的，都是等你输入密码点 登入后才联网

bbszy

幽冥の龙 发表于 2014-12-17 18:10
具有典型行为的粘虫

这是什么规则。。。

幽冥の龙

bbszy 发表于 2014-12-18 00:14
这是什么规则。。。

专门针对这种类型粘虫的规则 -。-

tanshi1990

Symantec. 发表于 2014-12-17 15:53
**** 作者被禁止或删除 内容自动屏蔽 ****

我的诺顿22miss，什么情况

山陵自出

幽冥の龙 发表于 2014-12-17 22:38
TMP就是假登入框程序，让它运行的话打开QQ就会弹假窗口
现在的粘虫都不先联网的，都是等你输入密码点 登 ...

他不是就跳了个图片出来么