Detection ratio: 3 / 55 键盘记录 自启动

驭龙

现在的WD学坏了，就会Spursint杀

EnZhSTReLniKoVa

墨家小子 发表于 2015-11-28 20:07
双击过了？不会吧？

AVA 25.4562
GD 25.5947

*** 进程 ***

进程: 1000
文件名: 19ab20723fb0a59d255a94816db46b9fc9d294468e7344fa41986c2a800d5d10.exe
路径: c:\users\natsukihanae\desktop\19ab20723fb0a59d255a94816db46b9fc9d294468e7344fa41986c2a800d5d10.exe

发行商：: 未知发行商
创建日期: 11/28/15 12:12:00
修改日期: 11/28/15 11:54:28

启动进程：: hxtsr.exe
发行商：: Microsoft Corporation


*** 操作 ***

另一程序已打开此文件，进程无法继续。
程序正在监听记录键盘输入。
一个未知进程访问了。
程序已从自身的程序文件读取数据。
可执行文件被保存在一个可疑位置。


*** 隔离区 ***

下列文件被转入隔离区：
C:\Users\NatsukiHanae\Desktop\19ab20723fb0a59d255a94816db46b9fc9d294468e7344fa41986c2a800d5d10.exe
c:\programdata\2f32222d1506765139ff79457b50133858bf2db5
c:\programdata\b765904e95ccbfe8a9be0edda6c55c6920e5fc5a
c:\users\natsukihanae\appdata\local\packages\microsoft.messaging_8wekyb3d8bbwe\ac\inetcache\rruhtbxs\15_10.0.0[1].json
c:\users\natsukihanae\appdata\local\temp\5eu9[7%gp0z3t9e{n0k7rut.tmp
c:\users\natsukihanae\appdata\local\temp\qdw4h%f6_vd5}08_garx46j.xml
c:\users\natsukihanae\appdata\roaming\idm\dwnldata\natsukihanae\att_kafan_cn_180\att_kafan_cn
c:\users\natsukihanae\appdata\roaming\idm\dwnldata\natsukihanae\att_kafan_cn_180\log_180.log
c:\users\natsukihanae\appdata\roaming\idm\scheduler\q_1.dt
c:\users\natsukihanae\appdata\roaming\tencent\logs\qq.tlg
c:\users\natsukihanae\appdata\roaming\tencent\qq\misc\1252303399
c:\users\natsukihanae\appdata\roaming\tencent\qq\misc\activexwhitelist
c:\users\natsukihanae\appdata\roaming\tencent\qq\temp\mso\)ov34`scp{7~wr1}(2(d_st.png
c:\users\natsukihanae\appdata\roaming\tencent\qq\temp\mso\291on)r}3oy4lhccc_$7x]j.png
c:\users\natsukihanae\appdata\roaming\tencent\qq\temp\mso\6vap[52i]k}{~3[68@2pixm.png
c:\users\natsukihanae\appdata\roaming\tencent\qq\temp\mso\o_af{pjaa[ueli$ma~@z]d1.png
c:\users\natsukihanae\appdata\roaming\tencent\qq\temp\mso\t[omj)v~_da]nms[f2zkstb.png
c:\users\natsukihanae\appdata\roaming\tencent\qq\temp\mso\xgs~t_ixfvhlf4k{cx[f99o.png
c:\users\natsukihanae\appdata\roaming\tencent\qqminidl\1252303399\config.ini
c:\users\natsukihanae\appdata\roaming\tencent\txsso\ssoconfig\appdb\_tsa_qq\_sid_1\_uin_0\txssoappcf.db
c:\users\natsukihanae\appdata\roaming\tencent\txsso\ssoconfig\globledb\_sid_0\_uin_0\txssogbcf2.db
c:\users\natsukihanae\appdata\roaming\tencent\users\1252303399\qq\wintemp\040)~}4g0d~q73kje9~kfc0.tmp
c:\users\natsukihanae\appdata\roaming\tencent\users\1252303399\qq\wintemp\1fvpsg}y`a6qu@$8f{o@}rg.tmp
c:\users\natsukihanae\appdata\roaming\tencent\users\1252303399\qq\wintemp\92}g%dv[[rovt$nqe~enw(5.tmp
c:\users\natsukihanae\appdata\roaming\tencent\users\1252303399\qq\wintemp\b)kb42rz]c)@)dp6zxj@}up.tmp
c:\users\natsukihanae\appdata\roaming\tencent\users\1252303399\qq\wintemp\jjp{3e]8dhiudr0lhkzb{6w.tmp
c:\users\natsukihanae\appdata\roaming\tencent\users\1252303399\qq\wintemp\{r3uv1@oa_0rl@}a5u8}vwa.tmp
c:\windows\syswow64\config\systemprofile\appdata\local\microsoft\windows\inetcache\ie\pcas[1].json
c:\windows\syswow64\config\systemprofile\appdata\roaming\tencent\logs\qqprotect.tlg
c:\windows\syswow64\config\systemprofile\appdata\roaming\tencent\qq\qqprotect\registry.db
c:\windows\temp\mfs3a6.tmp
c:\windows\temp\mfs40b1.tmp
c:\windows\temp\mfs46fb.tmp
c:\windows\temp\mfs471b.tmp
c:\windows\temp\mfse261.tmp

下列注册表项被删除：


YGLRuHLmCCsnjyknjykmBiwneHKCJyYGLSctJycnDC4nqCcniC4nl3AqdHJCJycmBrdycnJyYmKQKxaNK2eakC4n6GJicoIOenJyYmJycqAoJykmJicJynJyKCYmJ4ewJieYcnIpJ2fAKifocoItJweNcoJiYnKC0C0nLSYmJw2PcoIqJ5hycvApJysnKicHhyonJycnJganKx6MNWYrJx6MNWYrJyYGpy0nKSYmJwm3LScoJygmBrcvJyknKSYGxy4nKCYmJwjHLyeHYmJycgjnKCe/DGgpJ+iA+HJyYmJycoBpcnIAAA
规则版本： 5.0.71
OS: Windows 10.0 Service Pack 0.0 Build: 10586 - Workstation 64bit OS
DLL版本： 55982

"C:\Users\NatsukiHanae\Desktop\19ab20723fb0a59d255a94816db46b9fc9d294468e7344fa41986c2a800d5d10.exe"
MD5: 34E43EB96E8207D3AECC42C49CFE2684
"C:\Users\NatsukiHanae\Desktop\19ab20723fb0a59d255a94816db46b9fc9d294468e7344fa41986c2a800d5d10.exe"
MD5:

墨家小子

驭龙 发表于 2015-11-28 20:14
现在的WD学坏了，就会Spursint杀

这个Spursint是什么？？

230f4

君陌潇 发表于 2015-11-28 20:14
AVA 25.4562
GD 25.5947

这是什么？

墨家小子

君陌潇 发表于 2015-11-28 20:14
AVA 25.4562
GD 25.5947

GD，放学别走！！

驭龙

墨家小子 发表于 2015-11-28 20:15
这个Spursint是什么？？

其实吧，就是浏览器下载的时候如果是信誉差的文件，WD就云杀，跟拉黑差不多，没啥意思，我只不过是过过瘾，没啥意思的

墨家小子

驭龙 发表于 2015-11-28 20:18
其实吧，就是浏览器下载的时候如果是信誉差的文件，WD就云杀，跟拉黑差不多，没啥意思，我只不过是过过瘾 ...

这样这样……

EnZhSTReLniKoVa

230f4 发表于 2015-11-28 20:16
这是什么？

驭龙

墨家小子 发表于 2015-11-28 20:20
这样这样……

而微软自己却这样说
http://www.microsoft.com/securit ... ;enterprise=0#tab=2

Typically, trojans try to do one or all of the following:
•Download and install other malware.
•Use your computer for click fraud.
•Record your keystrokes and the sites you visit.
•Send information about your PC, including usernames and browsing history, to a remote malicious hacker.
•Give a remote malicious hacker access to your PC.

EnZhSTReLniKoVa

墨家小子 发表于 2015-11-28 20:17
GD，放学别走！！

防火墙先拦截，然后GD再弹出行为监控 再是hmpalert弹出。用GD重启回滚