EPS相关文件

ELOHIM

欧阳宣 发表于 2015-7-22 23:17
behave代表行为，似乎是用沙箱跑过？
还有lookslike就真不知道了

like某些类型的恶意文件。
额。。
感谢版主。。

欧阳宣

ELOHIM 发表于 2015-7-22 23:18
like某些类型的恶意文件。
额。。
感谢版主。。

别客气，大神二字真当不起

ELOHIM

欧阳宣 发表于 2015-7-22 23:19
别客气，大神二字真当不起

三人行必有我师。

尘梦幽然

趋势科技文件云信誉Safe

Ｍy↘じ★ve

冇问题

温馨小屋

文件名: 15.vir
威胁名称: Backdoor.Graybird完整路径: c:\users\zry98\downloads\2015.7.23\15.vir

____________________________

____________________________


在电脑上的创建时间 
2015/7/23 ( 9:52:16 )

上次使用时间 
2015/7/23 ( 9:54:46 )

启动项目 
否

已启动 
是

威胁类型: 病毒。 将自身插入或附加到其他程序、文件或电脑区域以感染这些媒介的程序。

____________________________


15.vir 威胁名称: Backdoor.Graybird
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
15.vir

____________________________

文件操作

文件: C:\Users\zry98\AppData\Local\virtualstore\windows\syswow64\ gh14rs.txt 不需要操作
文件: C:\WINDOWS\SysWOW64\ gh14rs.txt 不需要操作
文件: C:\Users\zry98\AppData\Local\Temp\ td132ccwa2.gec 不需要操作
文件: C:\Users\zry98\AppData\Local\virtualstore\windows\system\ mmtaskclean.log 不需要操作
文件: C:\WINDOWS\system\ mmtaskclean.log 不需要操作
文件: C:\Users\zry98\AppData\Local\virtualstore\windows\syswow64\ comsa32.sys 不需要操作
文件: C:\WINDOWS\SysWOW64\ comsa32.sys 不需要操作
文件: C:\Users\zry98\AppData\Local\virtualstore\windows\system\ win32in.dll 不需要操作
文件: C:\WINDOWS\system\ win32in.dll 不需要操作
文件: C:\Users\zry98\AppData\Local\virtualstore\windows\system\ win32out.dll 不需要操作
文件: C:\WINDOWS\system\ win32out.dll 不需要操作
文件: C:\Users\zry98\AppData\Local\virtualstore\windows\syswow64\ settings.dll 不需要操作
文件: C:\WINDOWS\SysWOW64\ settings.dll 不需要操作
文件: C:\Users\zry98\AppData\Local\virtualstore\windows\syswow64\ installed.dat 需要重新启动
文件: C:\WINDOWS\SysWOW64\ Installed.dat 需要重新启动
文件: C:\Users\zry98\AppData\Local\virtualstore\windows\syswow64\wbem\ inetno.chm 不需要操作
文件: C:\WINDOWS\SysWOW64\wbem\ INETNO.chm 不需要操作
文件: C:\Users\zry98\AppData\Local\virtualstore\windows\ win32.btl 不需要操作
文件: C:\WINDOWS\ win32.btl 不需要操作
文件: C:\Users\zry98\AppData\Local\virtualstore\windows\syswow64\wbem\ inetno.exe 不需要操作
文件: C:\WINDOWS\SysWOW64\wbem\ INETNO.EXE 不需要操作
文件: C:\Users\zry98\AppData\Local\virtualstore\windows\syswow64\wbem\ windows_nt_ck.exe 不需要操作
文件: C:\WINDOWS\SysWOW64\wbem\ Windows_NT_ck.EXE 不需要操作
文件: C:\Users\zry98\AppData\Local\virtualstore\programdata\downloadsave\ recordpath 不需要操作
文件: C:\ProgramData\DownloadSave\ RecordPath 不需要操作
文件: C:\Users\zry98\AppData\Local\virtualstore\program files (x86)\addendum\ addendov.dll 不需要操作
文件: C:\Program Files (x86)\addendum\ addendov.dll 不需要操作
文件: C:\Users\zry98\AppData\Local\virtualstore\program files (x86)\addendum\ addendov_uninstall.exe 不需要操作
文件: C:\Program Files (x86)\addendum\ addendov_uninstall.exe 不需要操作
文件: C:\Users\zry98\AppData\Local\Temp\ cun.sse 不需要操作
事件: 正在运行进程: C:\Users\zry98\AppData\Local\virtualstore\program files (x86)\internet explorer\ iexplore.exe 不需要操作
事件: 正在运行进程: C:\Program Files (x86)\Internet Explorer\ iexplore.exe 已终止
受感染文件: c:\users\zry98\downloads\2015.7.23\ 15.vir 不需要操作
____________________________

注册表操作

注册表更改: HKEY_CLASSES_ROOT\ .me0 不需要操作
注册表更改: HKEY_CLASSES_ROOT\ .mem 不需要操作
注册表更改: HKEY_CLASSES_ROOT\Folder\shell\ !exestrong 不需要操作
注册表更改: HKEY_CLASSES_ROOT\ me0file 不需要操作
注册表更改: HKEY_CLASSES_ROOT\ memfile 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\ {28ABC5C0-4FCB-11CF-AAX5-81CX1C635612} 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ ->Wopti Memory Defreg 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Wom\ ->Wopti ???? 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Wom\ ->Wopti 内存整理 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run->ravmond 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunServices->ravmond 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run->system 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunServices->system 不需要操作
注册表更改: HKEY_USERS\S-1-5-19\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run->ravmond 不需要操作
注册表更改: HKEY_USERS\S-1-5-20\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run->ravmond 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-2164425661-1590224933-994790313-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run->ravmond 不需要操作
注册表更改: HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run->ravmond 不需要操作
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows NT\CurrentVersion\ Windows->run 不需要操作
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows NT\CurrentVersion\ Windows->run 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-2164425661-1590224933-994790313-1001\Software\Microsoft\Windows NT\CurrentVersion\ Windows->run 不需要操作
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\ Windows->run 不需要操作
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\ Run->system 不需要操作
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\ Run->system 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-2164425661-1590224933-994790313-1001\Software\Microsoft\Windows\CurrentVersion\ Run->system 不需要操作
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\ Run->system 不需要操作
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ Run->Windows Printing Driver 不需要操作
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ Run->Windows Printing Driver 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-2164425661-1590224933-994790313-1001\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ Run->Windows Printing Driver 不需要操作
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ Run->Windows Printing Driver 不需要操作
注册表更改: HKEY_CLASSES_ROOT\ IEHelper.IEHlprObj.1 不需要操作
注册表更改: HKEY_CLASSES_ROOT\ IEHelper.IEHlprObj 不需要操作
注册表更改: HKEY_CLASSES_ROOT\Interface\ {C0BEBABF-1785-4075-8C4D-8FEE7833D3CD} 不需要操作
注册表更改: HKEY_CLASSES_ROOT\TypeLib\ {D42047D9-38C2-4FD1-8337-F69C8F835A30} 不需要操作
注册表更改: HKEY_USERS\S-1-5-19\Software\ DC3_FEXEC 不需要操作
注册表更改: HKEY_USERS\S-1-5-20\Software\ DC3_FEXEC 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-2164425661-1590224933-994790313-1001\Software\ DC3_FEXEC 不需要操作
注册表更改: HKEY_USERS\.DEFAULT\Software\ DC3_FEXEC 不需要操作
注册表更改: HKEY_USERS\S-1-5-19\Software\ B-Wing_Go 不需要操作
注册表更改: HKEY_USERS\S-1-5-20\Software\ B-Wing_Go 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-2164425661-1590224933-994790313-1001\Software\ B-Wing_Go 不需要操作
注册表更改: HKEY_USERS\.DEFAULT\Software\ B-Wing_Go 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\ A-Wing_Go 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\ B-Wing_Go 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunOnce->vvcos 不需要操作
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\ CUVersion 不需要操作
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\ CUVersion 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-2164425661-1590224933-994790313-1001\Software\Microsoft\Windows\ CUVersion 不需要操作
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\ CUVersion 不需要操作
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Policies\ System->DisableRegistryTools:0 不需要操作
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Policies\ System->DisableRegistryTools:0 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-2164425661-1590224933-994790313-1001\Software\Microsoft\Windows\CurrentVersion\Policies\ System->DisableRegistryTools:0 已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\ System->DisableRegistryTools:0 已修复
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\ ->AntiVirusDisableNotify:0 已修复
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\ ->UpdatesDisableNotify:0 已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Policies\System\ ->DisableTaskMgr:0 不需要操作
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Policies\System\ ->DisableTaskMgr:0 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-2164425661-1590224933-994790313-1001\Software\Microsoft\Windows\CurrentVersion\Policies\System\ ->DisableTaskMgr:0 已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\System\ ->DisableTaskMgr:0 已修复
注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\ ->Start:2 已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ ->NofolderOptions:0 不需要操作
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ ->NofolderOptions:0 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-2164425661-1590224933-994790313-1001\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ ->NofolderOptions:0 已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ ->NofolderOptions:0 已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ->ShowSuperHidden:1 已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ->ShowSuperHidden:1 已修复
注册表更改: HKEY_USERS\S-1-5-21-2164425661-1590224933-994790313-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ->ShowSuperHidden:1 已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ ->ShowSuperHidden:1 已修复
注册表更改: HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\New Windows\ ->PopupMgr:yes 已修复
注册表更改: HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\New Windows\ ->PopupMgr:yes 已修复
注册表更改: HKEY_USERS\S-1-5-21-2164425661-1590224933-994790313-1001\Software\Microsoft\Internet Explorer\New Windows\ ->PopupMgr:yes 已修复
注册表更改: HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\New Windows\ ->PopupMgr:yes 已修复
____________________________


文件指纹 - SHA:
0ed3b56dbcf1093b37d663ed03aaf1f8eeeb3f94ed2b25db7fbe580e025d4b46
文件指纹 - MD5:
不可用

amocken

Ｍy↘じ★ve 发表于 2015-7-23 02:23
冇问题

很漂亮的桌面

Ｍy↘じ★ve

温馨小屋 发表于 2015-7-23 10:40
文件名: 15.vir
威胁名称: Backdoor.Graybird完整路径: c:%users\zry98\downloads\2015.7.23\15.vir

然而你确定没发错帖子？你这是精睿的样本包吧。

Ｍy↘じ★ve

amocken 发表于 2015-7-23 12:51
很漂亮的桌面

我有强迫症 ，反正我是受不了满桌面都是快捷方式，文件又乱放的桌面。

zl181503

上报火绒