可疑文件来自邮箱附件

tony223322

ESS 30/12/2014 21:37:47        HTTP filter        file        a variant of MSIL/Injector.GXU trojan       

尘梦幽然

趋势科技简中8.0miss

幽冥の龙

虚拟机 WIN7 32 运行几秒后自动退出，未发现任何行为……
哈勃 也没跑出来
B超 跑出来了 https://b-chao.com/index.php/Ind ... 758EB7C6B5BC7F338FC

看来运行环境有要求……

是因为检测到在虚拟机所以不动作么？



忍不住想实机双击了怎么破…… 谁来拦住我


最后还是双击了……  果然 反虚拟机 反沙盘…… 运行就自动退出

实机双击了立马开工……

操作程序：F:\下载\Docpdfu202EGPJ\DocpdfwGPJ.exe
触犯规则：发现程序在以下目录创建，是否允许？
用户操作：结束进程
操作类型：创建
操作文件：C:\ProgramData\Exe Name.exe


自定义规则拦截了，果断结束掉进程  吓shi我了  

胖福

文件名: docpdfwgpj.exe
威胁名称: SONAR.Heuristic.130完整路径: 不可用

____________________________

____________________________



____________________________


docpdfwgpj.exe 威胁名称: SONAR.Heuristic.130
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
docpdfwgpj.exe

____________________________

文件操作

文件: f:\norton样本\临时收集\ docpdfwgpj.exe 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\ SogouInput.user->Used:1419994178 已修复
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\docpdfwgpj.exe, PID:4536) 未采取操作
(执行者 f:\norton样本\临时收集\docpdfwgpj.exe, PID:4536) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:5892 (执行者 f:\norton样本\临时收集\docpdfwgpj.exe, PID:4536) 未采取操作
事件: PE 文件创建: c:\programdata\ exe name.exe (执行者 f:\norton样本\临时收集\docpdfwgpj.exe, PID:4536) 未采取操作
事件: 进程启动: c:\Windows\System32\ reg.exe, PID:1528 (执行者 f:\norton样本\临时收集\docpdfwgpj.exe, PID:4536) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ docpdfwgpj.exe, PID:4536 (执行者 f:\norton样本\临时收集\docpdfwgpj.exe, PID:4536) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

仙剑问情

C:\Users\keke\Desktop\Docpdfu202EGPJ.zip > ZIP > DocpdfwGPJ.exe - MSIL/Injector.GXU 特洛伊木马 的变种 - 已删除 - 已隔离