Trojan/Rootkit njRAT

EnZhSTReLniKoVa

Password for the malicious sample: infected
Verified Malware Samples: Yes, this only contains malware  

230f4

eset杀

送信Y

管家miss

僵尸爱上猫

可疑文件： 596bb8d5579b56cfa471b1ba6ac0ad610c59d61db01567717c47bde5eac3697f.exe

风险： 高
路径： F:\test\596bb8d5579b56cfa471b1ba6ac0ad610c59d61db01567717c47bde5eac3697f.exe

详细信息
•    info_docs.exe 程序试图启动服务。

修改的文件
•    c:\sandbox\likeabull\00test\user\current\appdata\roaming (created)
•    c:\sandbox\likeabull\00test\user\current\appdata\local\temp\systam.exe (created)
•    c:\sandbox\likeabull\00test\user\current\appdata\roaming\microsoft (created)
•    c:\sandbox\likeabull\00test\user\current\appdata\roaming\microsoft\windows (created)
•    c:\sandbox\likeabull\00test\user\current\appdata\roaming\microsoft\windows\start menu (created)
•    c:\sandbox\likeabull\00test\user\current\appdata\roaming\microsoft\windows\start menu\programs (created)
•    c:\sandbox\likeabull\00test\user\current\appdata\roaming\microsoft\windows\start menu\programs\startup (created)
•    c:\sandbox\likeabull\00test\user\current\appdata\roaming\microsoft\windows\start menu\programs\startup\4a7ce9dc3c06b113abffffc746ea7328.exe (created)
•    f:\test\596bb8d5579b56cfa471b1ba6ac0ad610c59d61db01567717c47bde5eac3697f.exe

修改的注册表
•    \REGISTRY\USER\SANDBOX_LIKEABULL_00TEST\MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN:4a7ce9dc3c06b113abffffc746ea7328 (modified: old_value=, new_value ="C:\Users\Likeabull\AppData\Local\Temp\systam.exe" ..
•    \REGISTRY\USER\SANDBOX_LIKEABULL_00TEST\USER\CURRENT\ENVIRONMENT:SEE_MASK_NOZONECHECKS (modified: old_value=, new_value =1
•    \REGISTRY\USER\SANDBOX_LIKEABULL_00TEST\USER\CURRENT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP:AutoDetect (modified: old_value=, new_value =0x1 (1))
•    \REGISTRY\USER\SANDBOX_LIKEABULL_00TEST\USER\CURRENT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP:UNCAsIntranet (modified: old_value=, new_value =0x0 (0))
•    \REGISTRY\USER\SANDBOX_LIKEABULL_00TEST\USER\CURRENT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN:4a7ce9dc3c06b113abffffc746ea7328 (modified: old_value=, new_value ="C:\Users\Likeabull\AppData\Local\Temp\systam.exe" ..

开开心心卖手机

文件名: systam.exe
威胁名称: SONAR.SuspBeh!gen303完整路径: 不可用

____________________________

____________________________



____________________________


systam.exe 威胁名称: SONAR.SuspBeh!gen303
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
systam.exe

____________________________

文件操作

文件: c:\users\NS22\appdata\local\temp\ systam.exe 威胁已删除
文件: c:\users\NS22\desktop\ 596bb8d5579b56cfa471b1ba6ac0ad610c59d61db01567717c47bde5eac3697f.exe 威胁已删除
文件: c:\users\NS22\appdata\local\temp\ systam.exe:zone.identifier 不需要操作
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-2441969224-880650506-2303540796-1000\ Environment->SEE_MASK_NOZONECHECKS, 注册表配置单元: 64 位 威胁已删除
____________________________

系统设置操作

事件: 浏览器进程启动 (执行者 c:\users\NS22\appdata\local\temp\systam.exe, PID:3304) 未采取操作
事件: 进程启动: c:\Windows\System32\ netsh.exe, PID:752 (执行者 c:\users\NS22\appdata\local\temp\systam.exe, PID:3304) 未采取操作
事件: 进程启动: c:\users\NS22\appdata\local\temp\ systam.exe, PID:3304 (执行者 c:\users\NS22\appdata\local\temp\systam.exe, PID:3304) 未采取操作
事件: 浏览器进程启动 (执行者 c:\users\NS22\desktop\596bb8d5579b56cfa471b1ba6ac0ad610c59d61db01567717c47bde5eac3697f.exe, PID:2040) 未采取操作
事件: PE 文件创建: c:\users\NS22\appdata\local\temp\ systam.exe (执行者 c:\users\NS22\desktop\596bb8d5579b56cfa471b1ba6ac0ad610c59d61db01567717c47bde5eac3697f.exe, PID:2040) 未采取操作
事件: 进程启动: c:\users\NS22\appdata\local\temp\ systam.exe, PID:3304 (执行者 c:\users\NS22\desktop\596bb8d5579b56cfa471b1ba6ac0ad610c59d61db01567717c47bde5eac3697f.exe, PID:2040) 未采取操作
事件: 进程启动: c:\users\NS22\desktop\ 596bb8d5579b56cfa471b1ba6ac0ad610c59d61db01567717c47bde5eac3697f.exe, PID:2040 (执行者 c:\users\NS22\desktop\596bb8d5579b56cfa471b1ba6ac0ad610c59d61db01567717c47bde5eac3697f.exe, PID:2040) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

欧阳宣

mcafee miss

莒县小哥

fuzhk

SEP
衍生物 systam.exe
由智能下载分析弹窗警告，删除后没有问题。

heishen2010

你這個重複了，我已經發過了，見：thread-1833848-1-1.html
不信可檢測哈希！

莒县小哥