又一个敲诈者

胖福

文件名: 938649977456.scr
威胁名称: SONAR.Heuristic.120完整路径: 不可用

____________________________

____________________________



____________________________


938649977456.scr 威胁名称: SONAR.Heuristic.120
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
938649977456.scr

____________________________

文件操作

文件: f:\norton样本\临时收集\ 938649977456.scr 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ nuwavexac.cab 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ 938649977456.rtf 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\00002109110000000000000000F01FEC\ Usage->WORDFiles:1184628769 已修复
____________________________

网络操作

事件: 网络活动 (执行者 f:\norton样本\临时收集\938649977456.scr, PID:2860) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\938649977456.scr, PID:2860) 未采取操作
事件: 进程启动: c:\program files\microsoft office\Office12\ WINWORD.EXE, PID:2240 (执行者 f:\norton样本\临时收集\938649977456.scr, PID:2860) 未采取操作
(执行者 f:\norton样本\临时收集\938649977456.scr, PID:2860) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 938649977456.scr, PID:2860 (执行者 f:\norton样本\临时收集\938649977456.scr, PID:2860) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

zhousulin5

没看懂它要干啥

pal家族

zhousulin5 发表于 2015-4-28 15:58
没看懂它要干啥

他不是加密木马母体
是一个downloader，从卡巴的报毒名可以看出。
等一会就回下载母体然后运行。

zhousulin5

pal家族 发表于 2015-4-28 16:06
他不是加密木马母体
是一个downloader，从卡巴的报毒名可以看出。
等一会就回下载母体然后运行。

也没看到它联网啊

pal家族

zhousulin5 发表于 2015-4-28 16:10
也没看到它联网啊

系统环境问题。。这玩意不是一般人做的，能过美系三大，可能不会随便就分析得出来

zhousulin5

pal家族 发表于 2015-4-28 16:12
系统环境问题。。这玩意不是一般人做的，能过美系三大，可能不会随便就分析得出来

有人双击中招，我就信了

pal家族

zhousulin5 发表于 2015-4-28 16:14
有人双击中招，我就信了

换个环境 实机就会了，别试

zhousulin5

pal家族 发表于 2015-4-28 16:16
换个环境 实机就会了，别试

我实机也没法试，linux.
其实，用屏保来锁屏还真是不容易对付，既然是屏保，它拦截屏幕就是正常的

zmzcy

zhousulin5 发表于 2015-4-28 16:14
有人双击中招，我就信了

zhousulin5

zmzcy 发表于 2015-4-28 16:58

多谢。我信了。