Detection ratio: 4 / 55

墨家小子

https://www.virustotal.com/en/fi ... nalysis/1448863146/
SHA256:        6e5a69cd6deb39bbe2714169830eec7bcea969b2a49dea049c2ba27da0c37190
File name:        onprdfi.exe
Detection ratio:        4 / 55
Analysis date:        2015-11-30 05:59:06 UTC ( 0 minutes ago )







2015/11/30 14:00:07,C:\Users\AAAAAAAAAA\Desktop\etr\onprdfi.exe,26,Blocked ;修改受保护的注册表键 (HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run,IconUpdater)

2015/11/30 14:00:10,C:\Users\AAAAAAAAAA\Desktop\etr\onprdfi.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,MediaSaver)

2015/11/30 14:00:12,C:\Users\AAAAAAAAAA\Desktop\etr\onprdfi.exe,54,Allowed ;接受入站网络数据包

墨家小子

yzt1004 发表于 2015-11-30 14:20
反沙盘，自动退出。

移出沙盘：

wjy19800315

数字右键杀

wjy19800315

eset过

yzt1004

反沙盘，自动退出。

移出沙盘：





脸都没露就要自启动，像什么样子，隔离。

yzt1004

墨家小子 发表于 2015-11-30 14:23

直接云隔离了

pal家族

EnZhSTReLniKoVa

AVA 25.4588
GD 25.5951

*** 进程 ***

进程: 6760
文件名: onprdfi.exe
路径: c:\users\natsukihanae\desktop\onprdfi.exe

发行商：: 未知发行商
创建日期: 10/28/15 00:16:40
修改日期: 10/28/15 00:16:40

启动进程：: explorer.exe
发行商：: Microsoft Windows


*** 操作 ***

已加壳的程序文件，可能隐藏有恶意代码。
程序头文件包含错误。
程序正试图建立自启动项，以在系统启动时自动运行。
程序已在内存中被修改。
一个未知进程访问了。


*** 隔离区 ***

下列文件被转入隔离区：
C:\Users\NatsukiHanae\Desktop\onprdfi.exe

下列注册表项被删除：

\registry\machine\software\wow6432node\microsoft\windows\currentversion\run || networkupdater
\registry\user\s-1-5-21-2533445751-2411481644-359974300-1001\software\microsoft\windows\currentversion\run || crashreportsaver

YGLR73IILCcqJiYnCi4niHLycnIJp0InJ3RyYmJwKycnJycmBsdycnJyYmKAKRYuJxYuJyYG6HKiYmJyopArFv0uDtlyosApJycmJicHrHJycnJiYuArFioH3mKhcvAoJycnJyYGdyonCqcrF8Y1ZiwoF8Y1ZiwnF8Y1ZiwH5ygnCgA
规则版本： 5.0.71
OS: Windows 10.0 Service Pack 0.0 Build: 10586 - Workstation 64bit OS
DLL版本： 55982

"C:\Users\NatsukiHanae\Desktop\onprdfi.exe"
MD5: B79CDE1D30F3212E578D840E674E9A9A
C:\WINDOWS\Explorer.EXE
MD5:

XywCloud

SUD to BAV

samlin01

红伞杀