QQ cookies 木马通过QQ和QQ群传播恶意推广百度软件

vm001

引用别人叙述

中午在别的群里看到一个，群成员联系方式[这里是群名].htm这个文件，下载以后，打开一个网页，下载一个通讯录程序，运行以后，是一个通讯录程序的界面，觉得没用，就关掉，删除了文件，到了晚上23点左右，发现我QQ上传了同样一个页文件到群共享，文件名：群成员联系方式[这里会自动变成群名].htm，

主体

下载器

蓝天二号

解压，，

KIS  KILL




下载器  KIS 信任，，，首次出现 五年前。。

kkgh

FS  Trojan:W32/DelfInject.R

steven_lzs

eav8秒了

pbbh07

火绒Heur:Trojan/EL.Agent

诸葛亮

红伞miss

尘梦幽然

趋势科技简中8.0miss

星猫

to mcafee

XywCloud

主体被Baidu Antivirus启发杀

胖福

完整路径: 不可用
____________________________
____________________________
在电脑上的创建时间:
2015/1/1 ( 18:22:53 )
上次使用时间:
2015/1/1 ( 18:22:53 )
启动项:
否
已启动:
是
____________________________
____________________________
极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。
____________________________
高
此文件具有高风险。
____________________________
威胁详细信息
SONAR 主动防护监视电脑上的可疑程序活动。
____________________________
来源
下载自  URL 不可用

源文件:
群联系方式[电子版].exe
____________________________
文件操作
文件: f:\诺顿样本\病毒\群联系方式[电子版].exe
已删除
____________________________
注册表操作
注册表更改: HKEY_USERS\S-1-5-21-106302415-2046581659-3325157773-500\Software\SogouInput.user->Used:1420107607
已修复
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\群联系方式[电子版]_RASAPI32
已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\群联系方式[电子版]_RASAPI32->EnableFileTracing
不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\群联系方式[电子版]_RASAPI32->EnableConsoleTracing
不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\群联系方式[电子版]_RASAPI32->FileTracingMask
不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\群联系方式[电子版]_RASAPI32->ConsoleTracingMask
不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\群联系方式[电子版]_RASAPI32->MaxFileSize
不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\群联系方式[电子版]_RASAPI32->FileDirectory
不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\群联系方式[电子版]_RASMANCS
已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\群联系方式[电子版]_RASMANCS->EnableFileTracing
不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\群联系方式[电子版]_RASMANCS->EnableConsoleTracing
不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\群联系方式[电子版]_RASMANCS->FileTracingMask
不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\群联系方式[电子版]_RASMANCS->ConsoleTracingMask
不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\群联系方式[电子版]_RASMANCS->MaxFileSize
不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\群联系方式[电子版]_RASMANCS->FileDirectory
不需要操作
注册表更改: HKEY_USERS\S-1-5-21-106302415-2046581659-3325157773-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings->ProxyEnable:0
已修复
注册表更改: HKEY_USERS\S-1-5-21-106302415-2046581659-3325157773-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections->SavedLegacySettings:...
已修复
____________________________
网络操作
事件: 网络活动 (Performed by f:\诺顿样本\病毒\群联系方式[电子版].exe, PID:4328)
未采取操作
____________________________
系统设置操作
事件: 进程启动 (Performed by f:\诺顿样本\病毒\群联系方式[电子版].exe, PID:4328)
未采取操作
(Performed by f:\诺顿样本\病毒\群联系方式[电子版].exe, PID:4328)
未采取操作
事件: 进程启动: f:\诺顿样本\病毒\群联系方式[电子版].exe, PID:4328 (Performed by f:\诺顿样本\病毒\群联系方式[电子版].exe, PID:4328)
未采取操作
____________________________
文件指纹 - SHA:
不可用
____________________________
文件指纹 - MD5:
不可用
____________________________