2/21 扫描发现恶意软件 过SSF

墨家小子

d0feb2993e38f03de59387e653847e00484802c70b266c59fc24cf9456373dcf.exe



名称： d0feb2993e38f03de59387e653847e00484802c70b266c59fc24cf9456373dcf.exe  
大小：  89.5kB （91,650字节）   
类型： PE32 executable (GUI) Intel 80386, for MS Windows  
第一次出现：   2015年12月18日 GMT+1上午11:38:14
MD5： dc71ef1e55f1ddb36b3c41b1b95ae586  
SHA1： 9c81cc2206c3fe742522bee0009a7864529652dd  


状态： 完成扫描。2/21 扫描发现恶意软件。
扫描于： 2015年12月18日 GMT+1上午11:38:17
https://virusscan.jotti.org/zh-CN/filescanjob/75rt44t8zg



2015/12/18 18:38:51,C:\Windows\explorer.exe,53,Allowed ;执行应用程序 ("C:\Users\SSSS\Desktop\a\d0feb2993e38f03de59387e653847e00484802c70b266c59fc24cf9456373dcf.exe" )

2015/12/18 18:38:54,C:\Users\SSSS\Desktop\a\d0feb2993e38f03de59387e653847e00484802c70b266c59fc24cf9456373dcf.exe,53,Allowed ;执行应用程序 (C:\Users\SSSS\Desktop\a\d0feb2993e38f03de59387e653847e00484802c70b266c59fc24cf9456373dcf.exe)

2015/12/18 18:38:56,C:\Users\SSSS\Desktop\a\d0feb2993e38f03de59387e653847e00484802c70b266c59fc24cf9456373dcf.exe,53,Allowed ;执行应用程序 (explorer)

2015/12/18 18:38:59,C:\Windows\SysWOW64\explorer.exe,40,Blocked ;以修改权限打开进程或线程 (esif_assist.exe(pid=4048))

2015/12/18 18:39:01,C:\Windows\SysWOW64\explorer.exe,50,Allowed ;使用 DNS 解析服务访问网络

2015/12/18 18:39:10,C:\Windows\SysWOW64\explorer.exe,48,Allowed ;出站网络访问

2015/12/18 18:39:11,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,8A96136D)

yzt1004

反沙盘，运行就退出

反正卡巴UDS

蓝泽祈

诺顿nis毫无反应，和谐共处

墨家小子

蓝泽祈 发表于 2015-12-18 22:07
诺顿nis毫无反应，和谐共处

重启下看看谁才是老大

蓝泽祈

墨家小子 发表于 2015-12-18 22:13
重启下看看谁才是老大

貌似过了一会自动退出了，没啥反应。启动项，服务，驱动都没检测出异常

墨家小子

蓝泽祈 发表于 2015-12-18 22:32
貌似过了一会自动退出了，没啥反应。启动项，服务，驱动都没检测出异常

敢不敢用Autoruns扫描一下，然后把各项截图贴出来

cwl12315

NIS，运行，很快进程退出。
norton IPS报警，看来是衍生物explorer.exe引起的，但Sonar无动静。
------------------------------------------------------
嗯，不是衍生，应该是注入吧，这个explorer好像就是微软的原文件

墨家小子

cwl12315 发表于 2015-12-18 22:43
NIS，运行，很快进程退出。
norton IPS报警，看来是衍生物explorer.exe引起的，但Sonar无动静。

原来是IPS最后立功了

cwl12315

墨家小子 发表于 2015-12-18 22:46
原来是IPS最后立功了

一直在阻止，怎奈何就是不杀

cwl12315

突然发现还有启动项，C:\Users\cwl\AppData\Roaming\7EB5B1E4\bin.exe，看了下应该还是样本自身。