驭龙在2015年抓的第一个样本，质量不错，过了不少呢

sunnyjianna

ESET NOD32 Antivirus web防护
2015/1/2 0:04:23        HTTP filter        file        https://att.kafan.cn/forum.php?mo ... Dg4OTM0NHwxNzk5Nzgy        a variant of Win32/FlyStudio potentially unwanted application        connection terminated - quarantined        Penny\REPORT        Threat was detected upon access to web by the application: D:\已安装\世界之窗\TheWorld6\Application\TheWorld.exe.

allance

电脑管家过

whohever

XywCloud 发表于 2015-1-1 17:55
Baidu Antivirus不杀
和我今天凌晨抓的样本一致。
简单跑了下没有跑出后门的行为，但有点像那种后台推广 ...

已经可杀
Trusted extensions:

Detected threats:
C:\Users\Hee\Desktop\see.zip        Trojan.Win32.Badur.AbIP        Deleted

alan521

CIS右键杀

alauco

yjwfdc

2015-1-2 11:53:30    修改注册表值    允许
进程: c:\documents and settings\admin\local settings\temp\rar$ex00.531\see.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序]* -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings; ProxyEnable

2015-1-2 11:53:30    删除注册表值    允许
进程: c:\documents and settings\admin\local settings\temp\rar$ex00.531\see.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
规则: [应用程序]* -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings; ProxyServer

2015-1-2 11:53:30    修改注册表值    允许
进程: c:\documents and settings\admin\local settings\temp\rar$ex00.531\see.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable
值: 0x00000000(0)
规则: [应用程序]* -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings; ProxyEnable

2015-1-2 11:53:30    删除注册表值    允许
进程: c:\documents and settings\admin\local settings\temp\rar$ex00.531\see.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
规则: [应用程序]* -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Internet Settings; ProxyServer

2015-1-2 11:53:36    访问网络    允许
进程: c:\documents and settings\admin\local settings\temp\rar$ex00.531\see.exe
目标: TCP [本机 : 2127] ->  [113.31.26.67 : 80 (http)]
规则: [应用程序]*.exe -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 11:53:43    创建文件    允许
进程: c:\documents and settings\admin\local settings\temp\rar$ex00.531\see.exe
目标: C:\Program Files\ad.html
规则: [文件组]f060_行为防御 -> [文件]?:\program files

2015-1-2 11:53:54    创建注册表项    阻止
进程: c:\documents and settings\admin\local settings\temp\rar$ex00.531\see.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ESENT\Process\see
规则: [注册表]*

2015-1-2 11:53:55    创建注册表项    阻止
进程: c:\documents and settings\admin\local settings\temp\rar$ex00.531\see.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ESENT\Process\see
规则: [注册表]*

2015-1-2 11:53:58    访问网络    允许
进程: c:\documents and settings\admin\local settings\temp\rar$ex00.531\see.exe
目标: TCP [本机 : 2129] ->  [125.46.49.200 : 80 (http)]
规则: [应用程序]*.exe -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2015-1-2 11:53:59    访问网络    允许
进程: c:\documents and settings\admin\local settings\temp\rar$ex00.531\see.exe
目标: TCP [本机 : 2133] ->  [182.236.163.161 : 82]
规则: [应用程序]*.exe -> [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

C:\Program Files\ad.html 内容

<script language="javascript" type="text/javascript" src="http://js.users.51.la/17393654.js"></script>
<noscript><a href="http://www.51.la/?17393654" target="_blank"><img alt="我要啦免费统计" src="http://img.users.51.la/17393654.asp" style="border:none" /></a></noscript>

Renascence

蓝核 发表于 2015-1-1 15:32
进sb后等了一会诺顿没反应

Win8.1 X64，沙盘运行后诺顿21 SONAR杀



文件名: see.exe
威胁名称: SONAR.Heuristic.120
完整路径: 不可用

____________________________



详细信息
极少用户信任的文件,&nbsp; 极新的文件,&nbsp; 风险 高





原始
下载自
&nbsp;未知





活动
已执行的操作: 26



____________________________



在电脑上的创建时间&nbsp;
2015/1/2 ( 12:06:10 )


上次使用时间&nbsp;
2015/1/2 ( 12:06:10 )


启动项目&nbsp;
否


已启动&nbsp;
是


____________________________


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。



____________________________



来源: 外部介质



源文件:
winrar.exe




创建的文件:
see.exe




____________________________

文件操作

文件: d:\XXX\downloads\see\ see.exe 已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\Sandbox_XXX_DefaultBox\user\current\Software\Microsoft\ Windows NT, 注册表配置单元: 64 位 已删除
注册表更改: HKEY_USERS\Sandbox_XXX_DefaultBox\user\current_CLASSES\ Wow6432Node, 注册表配置单元: 64 位 已删除
注册表更改: HKEY_USERS\Sandbox_XXX_DefaultBox\MACHINE\SOFTWARE\Classes\ Wow6432Node, 注册表配置单元: 64 位 已删除
注册表更改: HKEY_USERS\Sandbox_XXX_DefaultBox\Machine\Software\Microsoft\ SQMClient, 注册表配置单元: 64 位 已删除
注册表更改: HKEY_USERS\Sandbox_XXX_DefaultBox\MACHINE\Software\Microsoft\ WindowsRuntime, 注册表配置单元: 64 位 已删除
注册表更改: HKEY_USERS\Sandbox_XXX_DefaultBox\MACHINE\Software\Classes\ ActivatableClasses, 注册表配置单元: 64 位 已删除
注册表更改: HKEY_USERS\Sandbox_XXX_DefaultBox\machine\Software\Policies\Microsoft\ Cryptography, 注册表配置单元: 64 位 已删除
注册表更改: HKEY_USERS\Sandbox_XXX_DefaultBox\Machine\Software\Microsoft\ TelemetryClient, 注册表配置单元: 64 位 已删除
注册表更改: HKEY_USERS\Sandbox_XXX_DefaultBox\machine\Software\Microsoft\ Windows NT, 注册表配置单元: 64 位 已删除
注册表更改: HKEY_USERS\SANDBOX_XXX_DEFAULTBOX\user\current\software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\SANDBOX_XXX_DEFAULTBOX\user\current\software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:..., 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\SANDBOX_XXX_DEFAULTBOX\user\current\software\Microsoft\Windows\CurrentVersion\Internet Settings\ ZoneMap->ProxyBypass:1, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\SANDBOX_XXX_DEFAULTBOX\user\current\software\Microsoft\Windows\CurrentVersion\Internet Settings\ ZoneMap->IntranetName:1, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\SANDBOX_XXX_DEFAULTBOX\user\current\software\Microsoft\Windows\CurrentVersion\Internet Settings\ ZoneMap->UNCAsIntranet:1, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\SANDBOX_XXX_DEFAULTBOX\user\current\software\Microsoft\Windows\CurrentVersion\Internet Settings\ ZoneMap->AutoDetect:0, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\SANDBOX_XXX_DEFAULTBOX\user\current\software\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\Cache\ Content->CachePrefix, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\SANDBOX_XXX_DEFAULTBOX\user\current\software\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\Cache\ Cookies->CachePrefix:Cookie:, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\SANDBOX_XXX_DEFAULTBOX\user\current\software\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\Cache\ History->CachePrefix:Visited:, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\SANDBOX_XXX_DEFAULTBOX\user\current_classes\ ActivatableClasses, 注册表配置单元: 64 位 已删除
注册表更改: HKEY_USERS\Sandbox_XXX_DefaultBox\Machine\Software\Classes\CLSID\ {0358B920-0AC7-461F-98F4-58E32CD89148}, 注册表配置单元: 64 位 已删除
注册表更改: HKEY_USERS\Sandbox_XXX_DefaultBox\Machine\Software\Classes\CLSID\ {C39EE728-D419-4BD4-A3EF-EDA059DBD935}, 注册表配置单元: 64 位 已删除
____________________________

网络操作

事件: 网络活动 (执行者 d:\XXX\downloads\see\see.exe, PID:120) 未采取操作
____________________________

系统设置操作

事件: 浏览器进程启动 (执行者 d:\XXX\downloads\see\see.exe, PID:120) 未采取操作
(执行者 d:\XXX\downloads\see\see.exe, PID:120) 未采取操作
事件: 进程启动: d:\XXX\downloads\see\ see.exe, PID:120 (执行者 d:\XXX\downloads\see\see.exe, PID:120) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

蓝核

Renascence 发表于 2015-1-2 12:09
Win8.1 X64，沙盘运行后诺顿21 SONAR杀

那就是反应过来了……不过我还是不测试了

骨灰级小白

AVG杀

胖福

蓝核 发表于 2015-1-1 23:38
啥系统？win7 64我是

win7 32！