metascan：0/44

zmzcy

提取自http://bbs.kafan.cn/thread-1824863-1-1.html
https://www.metascan-online.com/ ... 4789ecbc9e055819533
http://camas.comodo.com/cgi-bin/ ... 0ca045ded64e340ea83


提取自http://bbs.kafan.cn/thread-1824827-1-1.html

2221000789

瑞星 MISS

jayavira

狐狸糊涂

BD不报
－－－－－－－－－－－－－
BD双击拦截

胖福

文件名: lahepo.exe
威胁名称: SONAR.SuspTempRun2完整路径: 不可用

____________________________

____________________________



____________________________


lahepo.exe 威胁名称: SONAR.SuspTempRun2
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
lahepo.exe

____________________________

文件操作

文件: f:\norton样本\临时收集\ lahepo.exe 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ awjykub.exe 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Direct3D\ MostRecentApplication->Name:NSBU.exe 已修复
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ AudioCompressionManager 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\ DriverCache 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.imaadpcm 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.imaadpcm->fdwSupport 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.imaadpcm->cFormatTags 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.imaadpcm->aFormatTagCache 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.imaadpcm->cFilterTags 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msg711 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msg711->fdwSupport 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msg711->cFormatTags 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msg711->aFormatTagCache 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msg711->cFilterTags 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msgsm610 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msgsm610->fdwSupport 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msgsm610->cFormatTags 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msgsm610->aFormatTagCache 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msgsm610->cFilterTags 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msadpcm 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msadpcm->fdwSupport 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msadpcm->cFormatTags 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msadpcm->aFormatTagCache 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.msadpcm->cFilterTags 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.l3acm 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.l3acm->fdwSupport 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.l3acm->cFormatTags 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.l3acm->aFormatTagCache 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AudioCompressionManager\DriverCache\ msacm.l3acm->cFilterTags 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Multimedia\Audio Compression Manager\ 威胁已删除
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Multimedia\Audio Compression Manager\ MSACM 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Multimedia\Audio Compression Manager\ Priority v4.00 不需要操作
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Direct3D\ MostRecentApplication->Name:NSBU.exe 已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\ Multimedia 威胁已删除
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Multimedia\ Audio Compression Manager 不需要操作
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Multimedia\Audio Compression Manager\ MSACM 不需要操作
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Multimedia\Audio Compression Manager\ Priority v4.00 不需要操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\lahepo.exe, PID:5696) 未采取操作
(执行者 f:\norton样本\临时收集\lahepo.exe, PID:5696) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\local\temp\ awjykub.exe (执行者 f:\norton样本\临时收集\lahepo.exe, PID:5696) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ lahepo.exe, PID:5696 (执行者 f:\norton样本\临时收集\lahepo.exe, PID:5696) 未采取操作
事件: 进程启动 (执行者 c:\users\administrator\appdata\local\temp\awjykub.exe, PID:660) 未采取操作
(执行者 c:\users\administrator\appdata\local\temp\awjykub.exe, PID:660) 未采取操作
事件: 进程启动: c:\Windows\System32\ WerFault.exe, PID:3260 (执行者 c:\users\administrator\appdata\local\temp\awjykub.exe, PID:660) 未采取操作
事件: 进程启动: c:\users\administrator\appdata\local\temp\ awjykub.exe, PID:660 (执行者 c:\users\administrator\appdata\local\temp\awjykub.exe, PID:660) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

zhousulin5

2015-4-28 16:23:23    修改系统时间    阻止
进程: c:\downloads\niry\niry.exe
新时间: 2014-4-28 16:23:22
规则: [应用程序]?:\*

2015-4-28 16:23:35    创建文件    阻止并结束进程
进程: c:\downloads\niry\niry.exe
目标: C:\WINDOWS\Tasks\wykbwua.job
规则: [应用程序]?:\* -> [文件组]陷阱-常见异常文件

莒县小哥

两个  360TS   KILL  ALL

pal家族

这两个卡巴都可以杀 等下对没入库的第一个文件测试主防

XywCloud

SUD to BAV

zmzcy

XywCloud 发表于 2015-4-28 16:33
SUD to BAV

主防呢。。。。。。。。。。