流氓系列 fulfejlajfdg.exe

毛豆新人

CIS扫描miss，沙箱（低权限）运行后疯狂调用C:\Windows\SysWOW64\cmd.exe ，防火墙拦截联网请求。然后等我打开killswitch发现那程序没有运行了

Ｍy↘じ★ve

毛豆新人 发表于 2015-9-26 12:19
CIS扫描miss，沙箱（低权限）运行后疯狂调用C:\Windows\SysWOW64\cmd.exe ，防火墙拦截联网请求。然后等我 ...

需要命令行启动后台安装。
需要联网下载安装程序。
你可以尝试放行，你的是低权限下的虚拟化沙箱？那就不怕直接让他下载看看有什么

毛豆新人

Ｍy↘じ★ve 发表于 2015-9-26 12:27
需要命令行启动后台安装。
需要联网下载安装程序。
你可以尝试放行，你的是低权限下的虚拟化沙箱？那就 ...

更新：  陪它玩了10+分钟，联网下载100+mb            

双击后动作：  调用输入法， 调用cmd，调用浏览器，联网请求，然后流氓： 下载+弹网页（这次弹99健康网，之前弹过别的）

比较知名的是QQBrowser.exe（QQ浏览器），kinst_1_451.exe（看图标是金山毒霸），QyUpdate.exe，QyKernel.exe ，QYPlugin64.dll，IQIYI Video\Common\QyGameClient\UnityWebPlayer.exe （爱奇艺的程序们）

其它的就是，KeLe2014Beta3.6.2Promote0714_20090195130.exe，uni1248517c.exe，V8._85416_20150820204011.exe，mkshortcut.exe，npWebPlayer.dll，tribute.exe不知道是什么程序

毛豆av杀了下载的一个程序C:\VTRoot\HarddiskVolume1\Users\AppData\Local\Temp\setup_30049.exe ，报ApplicUnwnt@#90fwqor47ix7

@Ｍy↘じ★ve

nick20010117

avg 扫描miss

蓝天二号

大蜘蛛

Ｍy↘じ★ve

蓝天二号 发表于 2015-9-26 12:54
大蜘蛛

犀利！！这么多回复，唯一一个报毒

蓝天二号

Ｍy↘じ★ve 发表于 2015-9-26 13:01
犀利！！这么多回复，唯一一个报毒

蜘蛛的查杀是很震惊的。。

paul_guo

ViRobot        Trojan.Win32.R.Agent.2217070[h]        2014.3.20.0        20150925       
DrWeb        Trojan.DownLoader16.43536        7.0.15.8310        20150926       
Malwarebytes        Trojan.Downloader.QQ        2.1.1.1115        20150926       
VBA32        suspected of Trojan.Downloader.gen.h        3.12.26.4        20150924       
Rising        NS:PUF.SilenceInstaller!1.9DDF[F1]        25.0.0.17        20150925       
没想到吧
瑞星！

paul_guo

文件名: fulfejlajfdg.exe
威胁名称: SONAR.Heuristic.120完整路径: d:\fulfejlajfdg.exe

____________________________

____________________________


在电脑上的创建时间 
2015/9/26 ( 13:16:22 )

上次使用时间 
2015/9/26 ( 13:16:22 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


fulfejlajfdg.exe 威胁名称: SONAR.Heuristic.120
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
winrar.exe

创建的文件:
fulfejlajfdg.exe

____________________________

系统设置操作

事件: 浏览器进程启动 (执行者 d:\fulfejlajfdg.exe, PID:4420) 未尝试修复
e:\Sandbox\administrator\defaultbox\user\current\AppData\Local\Temp\ nsx18CE.tmp (执行者 d:\fulfejlajfdg.exe, PID:4420) 未尝试修复
事件: PE 文件创建: e:\Sandbox\administrator\defaultbox\user\current\AppData\Local\Temp\nsx18CE.tmp\ System.dll (执行者 d:\fulfejlajfdg.exe, PID:4420) 未尝试修复
____________________________


文件指纹 - SHA:
0d56cf52f881da9b73901850e251ca1b54775dfb9d3bfeedcfa164b3c7d45d25
文件指纹 - MD5:
不可用
NIS双击杀@欧阳宣

蓝天二号

paul_guo 发表于 2015-9-26 13:15
ViRobot        Trojan.Win32.R.Agent.2217070[h]        2014.3.20.0        20150925       
DrWeb        Trojan.DownLoader16.43536        7.0.1 ...

瑞星报高危病毒，，还真少见。。。。