两个

墨家小子

wu5920

火绒 kill 1x

欧阳宣

第一个
Win32.Trojan.WisdomEyes.150615.9950.9999.bav

sodium

31.12.2015 13.49.29;检测到的对象（文件）已删除。;F:\卡饭专区\小包\252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe;Windows Explorer;F:\卡饭专区\小包\252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe;12/31/2015 13:49:29;UDS:DangerousObject.Multi.Generic
31.12.2015 13.49.29;检测到的对象（文件）已删除。;F:\卡饭专区\小包\2e36b7e7dd0070ca52141ec567eb912e9c78a842aad9c7e6a256075df45fcece.exe;Windows Explorer;F:\卡饭专区\小包\2e36b7e7dd0070ca52141ec567eb912e9c78a842aad9c7e6a256075df45fcece.exe;12/31/2015 13:49:29;UDS:DangerousPattern.Multi.Generic

胖福

文件名: 252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe
威胁名称: SONAR.Heuristic.120完整路径: 不可用
____________________________
____________________________

在电脑上的创建时间 
2015-12-31 ( 15:39:23 )

上次使用时间 
2015-12-31 ( 15:39:23 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe 威胁名称: SONAR.Heuristic.120
定位

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。
____________________________

来源: 外部介质

源文件:
252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe
____________________________

文件操作

文件: f:\norton样本\临时收集\ 252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe 威胁已删除
事件: 正在运行进程: f:\norton样本\临时收集\ 252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe 已终止
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe, PID:4064) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe, PID:4752 (执行者 f:\norton样本\临时收集\252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe, PID:4064) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe, PID:4064 (执行者 f:\norton样本\临时收集\252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe, PID:4064) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\临时收集\252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe, PID:4752) 未采取操作
____________________________

可疑操作

事件: 尝试在进程地址空间内启动远程线程 (执行者 f:\norton样本\临时收集\252c4dbb63aa137c20ba93fc7701fa1ded7b732dab8baf75eb8975dd76df1aea.exe, PID:4064) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用



2e36b7e7dd0070ca52141ec567eb912e9c78a842aad9c7e6a256075df45fcece.exe运行过诺顿！
注入explorer，创建启动项！



衍生物，两个dll：

ericdj

第一个
rar压缩包报毒
（PS：下载完立马解压，然后右键扫exe文件。很有意思的是rar报毒了，而exe文件右键扫好好的……）

扫描引擎

Antivirus engines:Tencent cloud protection engine    Tencent antivirus engine II    Tencent system repair engine    Bitdefender local antivirus engine   

醉了醉了……

样本双击
管家成功拦截



++++++++++++++++++++++++++++++++++++++++（分割线）++++++++++++++++++++++++++++++++++++++++++++++++++++

第二个，右键miss
IPS（sep 11）拦截可疑网络活动
[mw_shl_code=css,true]检测到 [SID: 28058] System Infected: Trojan.Netweird Activity。
已禁止来自此应用程序的通信: C:\Sandbox\Administrator\DefaultBox\user\current\AppData\Roaming\Install\Host.exe[/mw_shl_code]

然后，就木有然后啦……

活该无法联网

墨家小子

ericdj 发表于 2015-12-31 16:13
第一个
rar压缩包报毒
（PS：下载完立马解压，然后右键扫exe文件。很有意思的是rar报毒了，而exe文件右键 ...

扫描报了你双击有什么用啊

ericdj

墨家小子 发表于 2015-12-31 18:56
扫描报了你双击有什么用啊

装个13会死啊