File name: TMP2241.tmp Detection ratio: 4 / 54 加密勒索挂马

墨家小子

SHA256: 2fa9cfe0ab627c0817ee42806f6ae11af89797f6f3cc8e3bc34e1e04e8ab631d  
File name: TMP2241.tmp
Detection ratio: 4 / 54  
Analysis date: 2015-12-23 01:54:25 UTC ( 1 minute ago )  
https://www.virustotal.com/en/fi ... nalysis/1450835665/



2015/12/23 9:51:37,C:\Program Files (x86)\Internet Explorer\iexplore.exe,53,Allowed ;执行应用程序 (C:\windows\system32\conhost.exe)

2015/12/23 9:51:48,C:\Windows\System32\conhost.exe,53,Allowed ;执行应用程序 (C:\windows\system32\taskhost.exe)

2015/12/23 9:51:50,C:\Windows\System32\conhost.exe,53,Allowed ;执行应用程序 (C:\windows\explorer.exe)

2015/12/23 9:51:58,C:\Program Files (x86)\Internet Explorer\iexplore.exe,48,Allowed ;出站网络访问

2015/12/23 9:52:04,C:\Program Files (x86)\Internet Explorer\iexplore.exe,53,Allowed ;执行应用程序 (C:\windows\system32\conhost.exe)

2015/12/23 9:52:07,C:\Windows\explorer.exe,53,Allowed ;执行应用程序 (C:\Users\AAA\AppData\Local\Temp\{7970C971-5368-4F23-B5AD-DB191F356549}\TMPF3FC.tmp)

2015/12/23 9:52:08,C:\Windows\System32\conhost.exe,53,Allowed ;执行应用程序 (C:\windows\system32\taskhost.exe)

2015/12/23 9:52:10,C:\Windows\System32\taskhost.exe,48,Allowed ;出站网络访问

2015/12/23 9:52:10,C:\Windows\System32\conhost.exe,53,Allowed ;执行应用程序 (C:\windows\explorer.exe)

2015/12/23 9:52:19,C:\Windows\explorer.exe,53,Allowed ;执行应用程序 (C:\Users\AAA\AppData\Local\Temp\{7F2E2ADD-52FC-44F3-B107-4D312E0AE820}\TMP2241.tmp)

2015/12/23 9:52:38,C:\Users\AAA\AppData\Local\Temp\{7970C971-5368-4F23-B5AD-DB191F356549}\TMPF3FC.tmp,53,Allowed ;执行应用程序 ("C:\windows\system32\explorer.exe")

2015/12/23 9:52:50,C:\Windows\SysWOW64\explorer.exe,41,Allowed ;修改受保护的文件 (C:\Windows\epudujub.exe)

2015/12/23 9:52:52,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,ahdmydoh)
2015/12/23 9:52:53,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,enevygyn)
2015/12/23 9:52:54,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,uxuqezeb)

2015/12/23 9:52:57,C:\Windows\SysWOW64\explorer.exe,53,Terminated ;执行应用程序 (vssadmin.exe Delete Shadows /All /Quiet)

2015/12/23 9:52:57,C:\Windows\explorer.exe,26,Allowed ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable)

2015/12/23 9:52:58,C:\Windows\SysWOW64\explorer.exe,26,Terminated ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable)

胖福

貌似卡巴被过掉了，但没有后续动作，我是不是又被墙了？

最下面的就是被注入的explorer.exe

墨家小子

胖福 发表于 2015-12-23 10:15
貌似卡巴被过掉了，但没有后续动作，我是不是又被墙了？

最下面的就是被注入的explorer.exe

2015/12/23 9:52:52,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,ahdmydoh)
2015/12/23 9:52:53,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,enevygyn)
2015/12/23 9:52:54,C:\Windows\SysWOW64\explorer.exe,26,Blocked ;修改受保护的注册表键 (HKCU\Software\Microsoft\Windows\CurrentVersion\Run,uxuqezeb)

2015/12/23 9:52:57,C:\Windows\SysWOW64\explorer.exe,53,Terminated ;执行应用程序 (vssadmin.exe Delete Shadows /All /Quiet)

kxmp

正在以只读方式打开受保护的进程 (explorer.exe(pid=1428)) 难道是新特性么.....

3801187

大BD主防拦截

金色飞龙

mse查杀,报毒名称为动态签名

开开心心卖手机

是 TR/Crypt.ZPACK.76294 特洛伊木马