Detection ratio: 6 / 54 lite543.exe 过SSF、木马军团作战

墨家小子

SHA256:        51c3c92063b65fac8d7e748debca7d5897a9e8b5c5d31b359a363041366bfeaf
File name:        lite543.exe
Detection ratio:        6 / 54
Analysis date:        2015-12-14 11:29:21 UTC ( 1 minute ago )
https://www.virustotal.com/en/fi ... nalysis/1450092561/





2015/12/14 19:30:19,C:\Windows\explorer.exe,53,Allowed ;执行应用程序 ("C:\Users\AA\Desktop\W\lite543.exe" )

2015/12/14 19:30:29,C:\Users\AA\Desktop\W\lite543.exe,53,Allowed ;执行应用程序 ("C:\windows\system32\msiexec.exe")

2015/12/14 19:30:32,C:\Windows\SysWOW64\msiexec.exe,50,Allowed ;使用 DNS 解析服务访问网络

2015/12/14 19:30:38,C:\Windows\SysWOW64\msiexec.exe,48,Allowed ;出站网络访问

2015/12/14 19:30:42,C:\Windows\SysWOW64\msiexec.exe,47,Allowed ;创建交换数据流 (C:\ProgramData\msojglxqp.exe:Zone.Identifier)

2015/12/14 19:30:44,C:\Windows\SysWOW64\msiexec.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows,Load)

2015/12/14 19:30:46,C:\Windows\SysWOW64\msiexec.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run)

2015/12/14 19:30:47,C:\Windows\SysWOW64\msiexec.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,80835775)

2015/12/14 19:31:10,C:\Windows\SysWOW64\msiexec.exe,53,Allowed ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22530312.exe)

2015/12/14 19:31:20,C:\ProgramData\CreativeAudio\aa7e19539gkcw.exe,47,Allowed ;创建交换数据流 (C:\ProgramData\CreativeAudio\aa7e19539gkcw.exe:Zone.Identifier)

2015/12/14 19:31:25,C:\Windows\SysWOW64\msiexec.exe,53,Allowed ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22551859.exe)

2015/12/14 19:31:28,C:\ProgramData\CreativeAudio\aa7e19539gkcw.exe,53,Allowed ;执行应用程序 (C:\windows\SysWOW64\explorer.exe)

2015/12/14 19:31:31,C:\Users\AA\AppData\Local\Temp\KB22551859.exe,53,Allowed ;执行应用程序 ("C:\windows\system32\msiexec.exe")

2015/12/14 19:31:33,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce,CreativeAudio)

2015/12/14 19:31:35,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce,CreativeAudio)

2015/12/14 19:31:37,C:\Windows\SysWOW64\msiexec.exe,50,Allowed ;使用 DNS 解析服务访问网络

2015/12/14 19:31:52,C:\Windows\SysWOW64\msiexec.exe,53,Allowed ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22572265.exe)

2015/12/14 19:31:54,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2015/12/14 19:31:58,C:\Windows\SysWOW64\msiexec.exe,48,Allowed ;出站网络访问

2015/12/14 19:31:59,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2015/12/14 19:32:02,C:\Users\AA\AppData\Local\Temp\KB22572265.exe,53,Allowed ;执行应用程序 ("C:\windows\system32\msiexec.exe")

2015/12/14 19:32:04,C:\Windows\SysWOW64\msiexec.exe,47,Allowed ;创建交换数据流 (C:\ProgramData\msxkrd.exe:Zone.Identifier)

2015/12/14 19:32:06,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Internet Explorer\Main,NoProtectedModeBanner)

2015/12/14 19:32:07,C:\Windows\SysWOW64\msiexec.exe,50,Allowed ;使用 DNS 解析服务访问网络

2015/12/14 19:32:09,C:\Windows\SysWOW64\msiexec.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows,Load)

2015/12/14 19:32:10,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce,CreativeAudio)

2015/12/14 19:32:14,C:\Windows\SysWOW64\msiexec.exe,48,Allowed ;出站网络访问

2015/12/14 19:32:16,C:\Windows\SysWOW64\msiexec.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,2077409781)

2015/12/14 19:32:18,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce,CreativeAudio)

2015/12/14 19:32:20,C:\Windows\SysWOW64\msiexec.exe,47,Allowed ;创建交换数据流 (C:\ProgramData\msxkrd.exe:Zone.Identifier)

2015/12/14 19:32:22,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2015/12/14 19:32:23,C:\Windows\SysWOW64\msiexec.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows,Load)

2015/12/14 19:32:43,C:\Windows\SysWOW64\msiexec.exe,53,Allowed ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22618750.exe)

2015/12/14 19:32:44,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2015/12/14 19:32:45,C:\Windows\SysWOW64\msiexec.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,2077409781)

2015/12/14 19:32:48,C:\Users\AA\AppData\Local\Temp\KB22618750.exe,53,Allowed ;执行应用程序 ("C:\windows\SysWOW64\explorer.exe")

2015/12/14 19:32:49,C:\Windows\SysWOW64\explorer.exe,40,Blocked ;以修改权限打开进程或线程 (esif_assist.exe(pid=4064))

2015/12/14 19:33:11,C:\Windows\SysWOW64\msiexec.exe,53,Allowed ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22645390.exe)

2015/12/14 19:33:12,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,djSaS011arbaaa1za13a1)

2015/12/14 19:33:14,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce,CreativeAudio)

2015/12/14 19:33:15,C:\Windows\SysWOW64\explorer.exe,50,Allowed ;使用 DNS 解析服务访问网络

2015/12/14 19:33:46,C:\Windows\SysWOW64\msiexec.exe,53,Allowed ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22652390.exe)

2015/12/14 19:33:48,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce,CreativeAudio)

2015/12/14 19:33:49,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce,djSaS011arbaaa1za13a1)

2015/12/14 19:33:54,C:\Windows\SysWOW64\explorer.exe,48,Blocked ;出站网络访问

2015/12/14 19:33:56,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2015/12/14 19:34:11,C:\Users\AA\AppData\Local\Temp\KB22652390.exe,53,Allowed ;执行应用程序 ("C:\windows\SysWOW64\explorer.exe")

2015/12/14 19:34:13,C:\Users\AA\AppData\Local\Temp\KB22645390.exe,53,Allowed ;执行应用程序 ("C:\windows\SysWOW64\explorer.exe")

2015/12/14 19:34:15,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2015/12/14 19:34:17,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2015/12/14 19:34:18,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,a12121zq)

2015/12/14 19:34:20,C:\Windows\SysWOW64\explorer.exe,48,Allowed ;出站网络访问

2015/12/14 19:34:22,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2015/12/14 19:34:28,C:\Windows\SysWOW64\msiexec.exe,53,Allowed ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22709750.exe)

2015/12/14 19:34:30,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce,a12121zq)

2015/12/14 19:34:44,C:\Windows\SysWOW64\msiexec.exe,53,Allowed ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22672562.exe)

2015/12/14 19:34:45,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2015/12/14 19:34:46,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,a12121zq)

2015/12/14 19:34:53,C:\Users\AA\AppData\Local\Temp\KB22709750.exe,53,Allowed ;执行应用程序 ("C:\windows\SysWOW64\explorer.exe")

2015/12/14 19:35:10,C:\Users\AA\AppData\Local\Temp\KB22672562.exe,53,Allowed ;执行应用程序 ("C:\windows\SysWOW64\explorer.exe")

2015/12/14 19:35:12,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2015/12/14 19:35:13,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,KdjSaS011arbaaa1za13a)

2015/12/14 19:35:14,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce,CreativeAudio)

2015/12/14 19:35:16,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,KdjSaS011arbaaa1za13a)

2015/12/14 19:35:17,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce,KdjSaS011arbaaa1za13a)

2015/12/14 19:35:18,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce,CreativeAudio)

2015/12/14 19:35:19,C:\Windows\SysWOW64\explorer.exe,47,Terminated ;创建交换数据流 (C:\ProgramData\CreativeAudio\aa7e19539gkcw.exe:Zone.Identifier)

2015/12/14 19:35:21,C:\Windows\SysWOW64\explorer.exe,26,Terminated ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce,a12121zq)

2015/12/14 19:35:23,C:\Windows\SysWOW64\explorer.exe,26,Terminated ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,CreativeAudio)

2015/12/14 19:35:45,C:\Windows\SysWOW64\msiexec.exe,53,Blocked ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22750031.exe)

2015/12/14 19:35:45,C:\Windows\SysWOW64\explorer.exe,33,Blocked ;设置钩子以监控网络请求 (C:\Windows\SysWOW64\explorer.exe(PID=8108))

2015/12/14 19:35:46,C:\Windows\SysWOW64\msiexec.exe,53,Blocked ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22765343.exe)

2015/12/14 19:35:48,C:\Windows\SysWOW64\explorer.exe,48,Terminated ;出站网络访问

2015/12/14 19:36:08,C:\Windows\SysWOW64\msiexec.exe,53,Blocked ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22826265.exe)

2015/12/14 19:36:09,C:\Windows\SysWOW64\msiexec.exe,53,Blocked ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22828500.exe)

2015/12/14 19:36:26,C:\Windows\SysWOW64\msiexec.exe,53,Terminated ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22849703.exe)

2015/12/14 19:36:27,C:\Windows\SysWOW64\msiexec.exe,53,Terminated ;执行应用程序 (C:\Users\AA\AppData\Local\Temp\KB22850687.exe)

小飞侠.net

ESET Smart Security 64位（高级启发式+启发式+DNA+智能签名）++（Win 10 th2....）：

奇虎360杀毒 64位（QVM二代、360云查杀、Avira、BitDefender）++（Win 7....）：

。。。。查杀结果看图：Scan finished. 11/21 scanners reported malware.


样本MD5：
文件名: C:\Users\xfxnet2000\Desktop\MX Player Pro\刘嘉欣\7346797\958202\952802\馨妍\lite543.rar
文件大小: 116384 字节 (113.66 KB)
修改日期: 2015-12-15 09:37
MD5: 77120a08f785ebde4b51270cc64f6b5e
SHA1: bc04117634245730a9096c9a85d33060932e4747
SHA256: 4b65ba465208e45cdc77e8a403bff8d9a6f27f4b53a5ac7c349a6a9a535fcee0
CRC32: 78563957

ther

文件名: lite543.exe
完整路径: C:\Users\ther1\Desktop\lite543.exe

____________________________

____________________________


开发人员 
不可用

版本 
不可用

已识别 
2015/12/14 ( 19:56:02 )

上次使用时间 
不可用

启动项 
否


____________________________


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

弱
有一些迹象表明此文件不可信。


____________________________


源文件:
7zg.exe

创建的文件:
lite543.exe

____________________________


文件指纹 - SHA:
51c3c92063b65fac8d7e748debca7d5897a9e8b5c5d31b359a363041366bfeaf
文件指纹 - MD5:
9319867547078c9b6d5309eb10b3a0c5

墨家小子

ther 发表于 2015-12-14 19:56
文件名: lite543.exe
完整路径: C:%users\ther1\Desktop\lite543.exe

这是双击吗？

ther

墨家小子 发表于 2015-12-14 19:59
这是双击吗？

双击等一会来，这是信誉

ther

墨家小子 发表于 2015-12-14 19:59
这是双击吗？

文件名: lite543.exe
威胁名称: SONAR.Heuristic.132完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2015/12/14 ( 20:00:37 )

上次使用时间 
2015/12/14 ( 20:00:37 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


lite543.exe 威胁名称: SONAR.Heuristic.132
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
7zg.exe

创建的文件:
lite543.exe

____________________________

文件操作

文件: c:\users\ther1\desktop\ lite543.exe 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\ther1\desktop\lite543.exe, PID:5796) 未采取操作
(执行者 c:\users\ther1\desktop\lite543.exe, PID:5796) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ msiexec.exe, PID:3008 (执行者 c:\users\ther1\desktop\lite543.exe, PID:5796) 未采取操作
事件: 进程启动: c:\users\ther1\desktop\ lite543.exe, PID:5796 (执行者 c:\users\ther1\desktop\lite543.exe, PID:5796) 未采取操作
____________________________

可疑操作

(执行者 c:\users\ther1\desktop\lite543.exe, PID:5796) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

追影子的十三

红伞APC扫描报毒

aboringman

Trend Micro：

扫描：miss；

双击：实机双击（不入沙），样本未经授权调用msiexec.exe被AEGIS终止并清除。

名稱:        lite543.exe
寄件人:        未知
版本:       
版權所有:       
偵測到的資源或程序 ID:        C:\Windows\system32\msiexec.exe
回應:        已清除

安全威脅:        HEU_AEGISCS957
來源類型:        安全威脅
受影響的檔案:        C:\Users\killer\Desktop\lite543.exe
處理行動:        已移除
偵測方式:        即時掃瞄

ther

aboringman 发表于 2015-12-14 21:51
Trend Micro：

扫描：miss；

大大快去测下那个KB系列的，sonar全过我好心痛

墨家小子

小飞侠.net 发表于 2015-12-15 09:41
ESET Smart Security 64位（高级启发式+启发式+DNA+智能签名）++（Win 10 th2....）：

奇虎360杀毒 64 ...

花式秀自拍么？