国内区发的假冒安全卫士

pal家族

君陌潇 发表于 2015-10-27 23:22
还好被拦截住了

又没有这些文件夹。。。。。。。。。
谁会有取这么怪名字的文件夹

毛豆新人

毛豆在线沙盘CIMA： http://camas.comodo.com/cgi-bin/ ... 3acc3492d4c10268079

鉴定可疑

Verdict：
Auto Analysis Verdict
Suspicious

Description：
Suspicious Actions Detected
Creates and executes scripts

上报毛豆

sunnyjianna

WD解压杀

类别: 特洛伊木马

描述: 这个程序很危险，而且执行来自攻击者的命令。

推荐的操作: 立即删除这个软件。

项目:
file:C:\Users\ASUS\Downloads\小鹦鹉安全卫士.zip
webfile:C:\ProgramData\Microsoft\Windows Defender\LocalCopy\{F831B483-1DE1-4550-9F5A-A33054FB1D25}-小鹦鹉安全卫士.zip|https://att.kafan.cn/forum.php?mo ... Dg4OTM0NHwxODYwMDY1
webfile:C:\Users\ASUS\Downloads\小鹦鹉安全卫士.zip|https://att.kafan.cn/forum.php?mo ... Dg4OTM0NHwxODYwMDY1

联机获取此项的详细信息。

MXCERILYF!

360 Total Security(QVM)

胖福

文件名: 小鹦鹉安全卫士.exe
威胁名称: SONAR.Heuristic.120完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2015-10-28 ( 08:11:30 )

上次使用时间 
2015-10-28 ( 08:11:30 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


小鹦鹉安全卫士.exe 威胁名称: SONAR.Heuristic.120
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
小鹦鹉安全卫士.exe

____________________________

文件操作

文件: f:\norton样本\临时收集\ 小鹦鹉安全卫士.exe 威胁已删除
文件: c:\users\administrator\appdata\local\temp\ ~dfded4415083680fc6.tmp 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Google\ Google Pinyin 2->ActiveTime:1445991086 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Google\ Google Pinyin 2->ActiveSkin:... 已修复
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ 小鹦鹉安全卫士_RASAPI32 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 小鹦鹉安全卫士_RASAPI32->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 小鹦鹉安全卫士_RASAPI32->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 小鹦鹉安全卫士_RASAPI32->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 小鹦鹉安全卫士_RASAPI32->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 小鹦鹉安全卫士_RASAPI32->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 小鹦鹉安全卫士_RASAPI32->FileDirectory 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\ 小鹦鹉安全卫士_RASMANCS 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 小鹦鹉安全卫士_RASMANCS->EnableFileTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 小鹦鹉安全卫士_RASMANCS->EnableConsoleTracing 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 小鹦鹉安全卫士_RASMANCS->FileTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 小鹦鹉安全卫士_RASMANCS->ConsoleTracingMask 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 小鹦鹉安全卫士_RASMANCS->MaxFileSize 不需要操作
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\ 小鹦鹉安全卫士_RASMANCS->FileDirectory 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0 已修复
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:... 已修复
____________________________

网络操作

事件: 网络活动 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:2956 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:2468 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:2804 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:3448 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:2880 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:2124 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:1696 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:2824 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:312 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:3540 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:436 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:3512 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:3572 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:532 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:2284 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:1108 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:3252 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:3432 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4116 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4136 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4148 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4172 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4196 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4212 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4236 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4248 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4256 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4276 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4292 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4436 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4452 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4460 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4472 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4480 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4488 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4496 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4504 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4520 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4532 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4560 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4568 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4692 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4804 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4812 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4820 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:4968 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:5096 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:5128 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:5168 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:5228 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:5260 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: c:\Windows\System32\ cmd.exe, PID:5292 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
(执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 小鹦鹉安全卫士.exe, PID:3592 (执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
____________________________

可疑操作

(执行者 f:\norton样本\临时收集\小鹦鹉安全卫士.exe, PID:3592) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

tanshi1990

胖福 发表于 2015-10-28 08:18
文件名: 小鹦鹉安全卫士.exe
威胁名称: SONAR.Heuristic.120完整路径: 不可用

太叼，你双击不怕吗？

胖福

tanshi1990 发表于 2015-10-28 14:30
太叼，你双击不怕吗？

全盘影子！

tanshi1990

胖福 发表于 2015-10-28 14:38
全盘影子！

我特么的也是醉了

开开心心卖手机

G DATA 互联网安全套装
[mw_shl_code=xml,true]Trojan.Dropper.XRW (引擎A)。[/mw_shl_code]

fuzhk

VT最新，只有BD系
B超

目的是什么呢？掩饰它用CMD调用net1 的事吗？
[mw_shl_code=javascript,true]       
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s C:\trojan.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s F:\trojan.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s E:\trojan.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s D:\trojan.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s C:\Hack.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s F:\Hack.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s E:\Hack.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s D:\Hack.*.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s F:\script.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s E:\script.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s D:\script.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s C:\macro.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s F:\macro.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s D:\macro.*
ImagePath = C:\WINDOWS\system32\cmd.exe, CmdLine = cmd /c del /s E:\macro.*[/mw_shl_code]