Detection ratio: 6 / 55 192b.exe

墨家小子

https://www.virustotal.com/en/fi ... faf5a8729/analysis/
SHA256:        25662cbb05aced581c13b246ad867ed870bdf66b1d01229164245c7faf5a8729
File name:        192b.exe
Detection ratio:        6 / 55
Analysis date:        2015-12-11 23:37:17 UTC ( 2 hours, 9 minutes ago )

为你心碎

AVAST

xyz0703

12.12.2015 10.12.03;检测到的对象（文件）已删除。;C:\Users\XYZ\Desktop\192b.exe;Microsoft Windows Search Protocol Host;C:\Users\XYZ\Desktop\192b.exe;12/12/2015 10:12:03;UDS:DangerousObject.Multi.Generic

胖福

双击过诺顿，创建启动项！


多次注销后SONAR杀！

文件名: 192b.exe
威胁名称: SONAR.Heuristic.132完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2015-12-12 ( 10:11:35 )

上次使用时间 
2015-12-12 ( 10:11:35 )

启动项目 
是

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


192b.exe 威胁名称: SONAR.Heuristic.132
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
192b.exe

____________________________

文件操作

文件: f:\norton样本\临时收集\ 192b.exe 威胁已删除
目录: c:\ recycler 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Run->wfdaaaab1ab 威胁已删除
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ RunOnce->wfdaaaab1ab 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\192b.exe, PID:2412) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 192b.exe, PID:2412 (执行者 f:\norton样本\临时收集\192b.exe, PID:2412) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\临时收集\192b.exe, PID:2848) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\临时收集\192b.exe, PID:5180) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 192b.exe, PID:5180 (执行者 f:\norton样本\临时收集\192b.exe, PID:5180) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 192b.exe, PID:2848 (执行者 f:\norton样本\临时收集\192b.exe, PID:2848) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\临时收集\192b.exe, PID:4420) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\临时收集\192b.exe, PID:3836) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 192b.exe, PID:3836 (执行者 f:\norton样本\临时收集\192b.exe, PID:3836) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 192b.exe, PID:4420 (执行者 f:\norton样本\临时收集\192b.exe, PID:4420) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\临时收集\192b.exe, PID:968) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\临时收集\192b.exe, PID:4588) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 192b.exe, PID:4588 (执行者 f:\norton样本\临时收集\192b.exe, PID:4588) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 192b.exe, PID:968 (执行者 f:\norton样本\临时收集\192b.exe, PID:968) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\临时收集\192b.exe, PID:1620) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\临时收集\192b.exe, PID:5032) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 192b.exe, PID:5032 (执行者 f:\norton样本\临时收集\192b.exe, PID:5032) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 192b.exe, PID:1620 (执行者 f:\norton样本\临时收集\192b.exe, PID:1620) 未采取操作
____________________________

可疑操作

事件: 尝试在进程地址空间内启动远程线程 (执行者 f:\norton样本\临时收集\192b.exe, PID:1620) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

aboringman

Trend Micro：

扫描：miss；

双击：实机双击（不入沙），不久报未经授权的更改并击杀之。

名稱:        192b.exe
寄件人:        未知
版本:       
版權所有:       
偵測到的資源或程序 ID:        ZwWriteVirtualMemory
回應:        已清除

安全威脅:        TROJ_LETHIC.MIP00000015
來源類型:        安全威脅
受影響的檔案:        C:\Users\killer.Killer-PC\Des…\192b.exe
處理行動:        已移除
偵測方式:        即時掃瞄
來自何處？

安全威脅:        HEU_AEGISCS230
來源類型:        安全威脅
受影響的檔案:        C:\Users\killer.Killer-PC\Des…\192b.exe
處理行動:        已移除
偵測方式:        即時掃瞄

Renascence

胖福 发表于 2015-12-12 10:14
双击过诺顿，创建启动项！

我这边解压就杀了

胖福

Renascence 发表于 2015-12-12 15:23
我这边解压就杀了

我上报了，这种东西诺顿入库很快的，还有别人也可能上报了！

Renascence

胖福 发表于 2015-12-12 15:29
我上报了，这种东西诺顿入库很快的，还有别人也可能上报了！

这么雷厉风行真不像是铁壳的作风啊

胖福

Renascence 发表于 2015-12-12 15:30
这么雷厉风行真不像是铁壳的作风啊

诺顿对国内流行的未必迅速，但对国外这些还是动作麻利的！

samlin01

红伞kill