File name: 2E82.tmp.exe Detection ratio: 2 / 54 截取屏幕或窗口并加密勒索挂马

墨家小子

SHA256:        eb5b3ed92eb6b57cd0971e95901d78bfa8f543ef856807b8c394509e571fe776
File name:        2E82.tmp.exe
Detection ratio:        2 / 54
Analysis date:        2015-12-24 03:54:44 UTC ( 0 minutes ago )
https://www.virustotal.com/en/fi ... nalysis/1450929284/

vm001

运行样本



360拦截




阻止以后样本无后续动作
如果放过被注入系统进程（因为系统进程是白的），那样360就拦截不了了
然而把这2个系统进程改下md5（让360识别为灰）再执行样本，允许上面的2个动作，360会拦截后续行为

墨家小子

文件名: 2e82.tmp.exe
威胁名称: SONAR.Heuristic.132完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2015/12/24 ( 11:51:46 )

上次使用时间 
2015/12/24 ( 11:51:46 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


2e82.tmp.exe 威胁名称: SONAR.Heuristic.132
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
explorer.exe

创建的文件:
2e82.tmp.exe

____________________________

文件操作

文件: c:\users\AAA\desktop\11\ 2e82.tmp.exe 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\AAA\desktop\11\2e82.tmp.exe, PID:7536) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ explorer.exe, PID:4800 (执行者 c:\users\AAA\desktop\11\2e82.tmp.exe, PID:7536) 未采取操作
事件: 进程启动: c:\users\AAA\desktop\11\ 2e82.tmp.exe, PID:7536 (执行者 c:\users\AAA\desktop\11\2e82.tmp.exe, PID:7536) 未采取操作
____________________________

可疑操作

(执行者 c:\users\AAA\desktop\11\2e82.tmp.exe, PID:7536) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

胖福

文件名: 2e82.tmp.exe
威胁名称: SONAR.SuspBeh!gen244完整路径: 不可用
____________________________
____________________________

在电脑上的创建时间 
2015-12-24 ( 12:11:42 )

上次使用时间 
2015-12-24 ( 12:11:42 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

2e82.tmp.exe 威胁名称: SONAR.SuspBeh!gen244
定位

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。
____________________________

来源: 外部介质

源文件:
2e82.tmp.exe
____________________________

文件操作

文件: f:\norton样本\临时收集\ 2e82.tmp.exe 需要重新启动
目录: c:\Users\administrator\AppData\Roaming\ 61fd517cc7 需要重新启动
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\2e82.tmp.exe, PID:5588) 未采取操作
事件: 进程启动: c:\Windows\ explorer.exe, PID:2952 (执行者 f:\norton样本\临时收集\2e82.tmp.exe, PID:5588) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 2e82.tmp.exe, PID:5588 (执行者 f:\norton样本\临时收集\2e82.tmp.exe, PID:5588) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\roaming\61fd517cc7\ 024bb638af.exe (执行者 f:\norton样本\临时收集\2e82.tmp.exe, PID:5588) 未采取操作
____________________________

可疑操作

(执行者 f:\norton样本\临时收集\2e82.tmp.exe, PID:5588) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用






文件名: 20f1.tmp.exe
威胁名称: SONAR.SuspBeh!gen244完整路径: 不可用
____________________________
____________________________

在电脑上的创建时间 
2015-12-24 ( 12:11:15 )

上次使用时间 
2015-12-24 ( 12:11:15 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

20f1.tmp.exe 威胁名称: SONAR.SuspBeh!gen244
定位

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。
____________________________

来源: 外部介质

源文件:
20f1.tmp.exe
____________________________

文件操作

文件: f:\norton样本\临时收集\ 20f1.tmp.exe 威胁已删除
目录: c:\users\administrator\appdata\roaming\ 61fd517cc7 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\20f1.tmp.exe, PID:3260) 未采取操作
事件: 进程启动: c:\Windows\ explorer.exe, PID:1996 (执行者 f:\norton样本\临时收集\20f1.tmp.exe, PID:3260) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 20f1.tmp.exe, PID:3260 (执行者 f:\norton样本\临时收集\20f1.tmp.exe, PID:3260) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\roaming\61fd517cc7\ 024bb638af.exe (执行者 f:\norton样本\临时收集\20f1.tmp.exe, PID:3260) 未采取操作
____________________________

可疑操作

(执行者 f:\norton样本\临时收集\20f1.tmp.exe, PID:3260) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

pal家族

诶~sonar果然检测手段丰富，我估摸着检测结果不同是因为云的原因？
@尘梦幽然

lixihong10

三步死

尘梦幽然

pal家族 发表于 2015-12-24 12:32
诶~sonar果然检测手段丰富，我估摸着检测结果不同是因为云的原因？
@尘梦幽然

这个原因多，不要太介意。
拦截就可以

cwl12315

pal家族 发表于 2015-12-24 12:32
诶~sonar果然检测手段丰富，我估摸着检测结果不同是因为云的原因？
@尘梦幽然

前两天楼主的一个样本，双击后Sonar连着报了6次警告，而且报法不一样

pal家族

尘梦幽然 发表于 2015-12-24 13:05
这个原因多，不要太介意。
拦截就可以

想到了宙斯盾和霉国一堆导弹防御系统。。。

墨家小子

vm001 发表于 2015-12-24 17:21
运行样本

截取屏幕什么的有没有拦截？