每日样本

东方妖妖梦

XywCloud

BAV killed
Result: Trojan.Banker(Suspicious)

pal家族

31.03.2015 08.15.12;检测到的对象（文件）已删除。;D:\搜狗高速下载\400cd3412b77e8e8957b55120f05b064\400cd3412b77e8e8957b55120f05b064;WinRAR 压缩文件管理器;D:\搜狗高速下载\400cd3412b77e8e8957b55120f05b064\400cd3412b77e8e8957b55120f05b064;03/31/2015 08:15:12;Trojan-Ransom.Win32.Blocker.gukd

开开心心卖手机

百度卫士 麦咖啡家庭版 均miss

驭龙

黑寡妇不杀

刚刚更新完，杀了，而且是Encoder，这东西双击应该过不了DPH

狐狸糊涂

僵尸爱上猫

先下载分析报  
还原后双击sonar杀
不知为何杀了两次
[mw_shl_code=css,true]文件名: 400cd3412b77e8e8957b55120f05b064.exe
威胁名称: SONAR.SuspBeh!gen15完整路径: 不可用

____________________________

____________________________



____________________________


400cd3412b77e8e8957b55120f05b064.exe 威胁名称: SONAR.SuspBeh!gen15
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
400cd3412b77e8e8957b55120f05b064.exe

____________________________

文件操作

文件: f:\test\ 400cd3412b77e8e8957b55120f05b064.exe 威胁已删除
文件: c:\sandbox\likeabull\0test\drive\c\609a18ff\ 609a18ff.exe 威胁已删除
文件: c:\sandbox\likeabull\0test\drive\f\test\ 400cd3412b77e8e8957b55120f05b064.exe 威胁已删除
文件: c:\sandbox\likeabull\0test\user\current\appdata\roaming\ 609a18ff.exe 威胁已删除
文件: c:\sandbox\likeabull\0test\user\current\appdata\roaming\microsoft\windows\start menu\programs\startup\ 609a18ff.exe 威胁已删除
目录: c:\sandbox\likeabull\0test\drive\c\ 609a18ff 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\Sandbox_Likeabull_0test\machine\Software\Policies\Microsoft\ Cryptography, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_Likeabull_0test\machine\Software\Microsoft\ Cryptography, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_Likeabull_0test\user\current\Software\Microsoft\ Windows NT, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_Likeabull_0test\machine\software\classes\ clsid, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_Likeabull_0test\user\current\Software\Microsoft\Windows\CurrentVersion\ Run, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_Likeabull_0test\user\current\Software\Microsoft\Windows\CurrentVersion\ RunOnce, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_Likeabull_0test\Machine\Software\Microsoft\ Windows NT, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_Likeabull_0test\machine\system\CurrentControlSet\services\ wuauserv, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_Likeabull_0test\machine\system\CurrentControlSet\services\ BITS, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_Likeabull_0test\MACHINE\SOFTWARE\ Wow6432Node, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_Likeabull_0test\Machine\Software\Microsoft\ SQMClient, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_Likeabull_0test\user\current\Software\Microsoft\Windows\CurrentVersion\ Internet Settings, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\SANDBOX_LIKEABULL_0TEST\user\current_classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache->C:\Windows\SysWOW64\ vssadmin.exe, 注册表配置单元: 64 位 威胁已删除
____________________________

网络操作

事件: 网络活动 (执行者 f:\test\400cd3412b77e8e8957b55120f05b064.exe, PID:5112) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\test\400cd3412b77e8e8957b55120f05b064.exe, PID:5112) 未采取操作
(执行者 f:\test\400cd3412b77e8e8957b55120f05b064.exe, PID:5112) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ explorer.exe, PID:584 (执行者 f:\test\400cd3412b77e8e8957b55120f05b064.exe, PID:5112) 未采取操作
事件: 进程启动: f:\test\ 400cd3412b77e8e8957b55120f05b064.exe, PID:5112 (执行者 f:\test\400cd3412b77e8e8957b55120f05b064.exe, PID:5112) 未采取操作
事件: PE 文件创建: c:\sandbox\likeabull\0test\drive\c\609a18ff\ 609a18ff.exe (执行者 f:\test\400cd3412b77e8e8957b55120f05b064.exe, PID:5112) 未采取操作
事件: PE 文件创建: c:\sandbox\likeabull\0test\user\current\appdata\roaming\ 609a18ff.exe (执行者 f:\test\400cd3412b77e8e8957b55120f05b064.exe, PID:5112) 未采取操作
事件: PE 文件创建: c:\sandbox\likeabull\0test\user\current\appdata\roaming\microsoft\windows\start menu\programs\startup\ 609a18ff.exe (执行者 f:\test\400cd3412b77e8e8957b55120f05b064.exe, PID:5112) 未采取操作
事件: PE 文件创建: c:\sandbox\likeabull\0test\drive\f\test\ 400cd3412b77e8e8957b55120f05b064.exe (执行者 f:\test\400cd3412b77e8e8957b55120f05b064.exe, PID:5112) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ svchost.exe, PID:4848 (执行者 f:\test\400cd3412b77e8e8957b55120f05b064.exe, PID:5112) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ vssadmin.exe, PID:6016 (执行者 f:\test\400cd3412b77e8e8957b55120f05b064.exe, PID:5112) 未采取操作
____________________________

可疑操作

事件: 尝试在进程地址空间内启动远程线程 (执行者 f:\test\400cd3412b77e8e8957b55120f05b064.exe, PID:5112) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用
[/mw_shl_code]

pbbh07

qvm10.1

/tiao眼镜鱼

dr.web killed

paul_guo

/tiao眼镜鱼 发表于 2015-3-31 09:14
dr.web killed

你这根上面那个。。。