Detection ratio: 2 / 54 Neutrino Exploit Kit 漏洞攻击 加密勒索挂马

墨家小子

SHA256:        8b77d9d04473b112eb572792759c6bddad7527bdc34dc0f03783d78b236701ad
File name:        rad600E3.tmp.exe
Detection ratio:        2 / 54
Analysis date:        2016-01-01 03:20:31 UTC ( 1 minute ago )
https://www.virustotal.com/en/fi ... nalysis/1451618431/
Malwarebytes        Ransom.CryptoWall        20160101
McAfee-GW-Edition        BehavesLike.Win32.Downloader.hc        20160101



第一次看到Neutrino Exploit Kit带来的加密勒索挂马，之前都是挂那种加驱加服务项加启动项平平常常的行为，没有实用价值

















+++++++++++++++++++++++++++++++++++++++++++

又碰见一个相同类型的挂马网页，不过木马是一个，见图：

墨家小子

我也是醉了，说声纳没有反应，说HMPA没有反应，每天打脸都打不过来，找点新鲜的样本来玩，每次都碰到莫名其妙的人，双击前问问自己会不会玩，能不能行了？



文件名: rad69060.tmp.exe
威胁名称: SONAR.SuspBeh!gen3完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间?
2016/1/1 ( 12:35:15 )

上次使用时间?
2016/1/1 ( 12:35:15 )

启动项目?
否

已启动?
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


rad69060.tmp.exe 威胁名称: SONAR.SuspBeh!gen3
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
explorer.exe

创建的文件:
rad69060.tmp.exe

____________________________

文件操作

文件: c:\users\AA\desktop\1\ rad69060.tmp.exe 威胁已删除
文件: c:\users\AA\appdata\local\temp\ ~dff6efea85906fbdd9.tmp 威胁已删除
目录: c:\Users\AA\AppData\Roaming\ 77a829663 需要重新启动
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-882639051-1261622828-682048811-1001\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\S-1-5-21-882639051-1261622828-682048811-1001\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyOverride:<local>, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\S-1-5-21-882639051-1261622828-682048811-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings->AutoConfigURL:http://127.0.0.1:1080/ pac?t=201601011239140266, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\S-1-5-21-882639051-1261622828-682048811-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:..., 注册表配置单元: 64 位 已修复
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\AA\desktop\1\rad69060.tmp.exe, PID:7916) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ cmd.exe, PID:6868 (执行者 c:\users\AA\desktop\1\rad69060.tmp.exe, PID:7916) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ cmd.exe, PID:8672 (执行者 c:\users\AA\desktop\1\rad69060.tmp.exe, PID:7916) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ explorer.exe, PID:5452 (执行者 c:\users\AA\desktop\1\rad69060.tmp.exe, PID:7916) 未采取操作
事件: 进程启动: c:\users\AA\desktop\1\ rad69060.tmp.exe, PID:7916 (执行者 c:\users\AA\desktop\1\rad69060.tmp.exe, PID:7916) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ svchost.exe, PID:6576 (执行者 c:\users\AA\desktop\1\rad69060.tmp.exe, PID:7916) 未采取操作
____________________________

可疑操作

(执行者 c:\users\AA\desktop\1\rad69060.tmp.exe, PID:7916) 未采取操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\AA\desktop\1\rad69060.tmp.exe, PID:7916) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

墨家小子

[mw_shl_code=css,true]怕不准又来了一次，声纳依然拦截：

文件名: rad600e3.tmp.exe
威胁名称: SONAR.SuspBeh!gen3完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间&nbsp;
2016/1/1 ( 12:59:02 )

上次使用时间&nbsp;
2016/1/1 ( 13:46:14 )

启动项目&nbsp;
否

已启动&nbsp;
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


rad600e3.tmp.exe 威胁名称: SONAR.SuspBeh!gen3
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


https://att.kafan.cn/forum.php?mo ... DkwNjM2MXwxODczMzI0
已下载文件 rad600e3.tmp.exe 威胁名称: SONAR.SuspBeh!gen3
从 att.kafan.cn
来源: 外部介质

winrar.exe


创建的文件:
rad600e3.tmp.exe

____________________________

文件操作

文件: c:\users\AA\desktop\1\ rad600e3.tmp.exe 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ jc6alke9.a6pj 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 4mh90ljj.d1b8a 威胁已删除
文件: c:\windows\cryptoguard\ f521abba 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ i7vm57.b7pj6 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ xeti2a3.3xb 威胁已删除
文件: c:\windows\cryptoguard\ c8430cdb 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 9vxznga.sd397 威胁已删除
文件: c:\windows\cryptoguard\ 79cb705a 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ ksg50qtyx.y5 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ jipnwb7b0.s2 威胁已删除
文件: c:\windows\cryptoguard\ e51a371e 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 0im1q.lc0f5 威胁已删除
文件: c:\windows\cryptoguard\ 65d99594 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 3uw4c9pwk.4q2 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ rka0i.du5z 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ ucqmi46.4l 威胁已删除
文件: c:\windows\cryptoguard\ 3ed9a1de 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ bx0yzy.4w 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ igs19zjq.80e 威胁已删除
文件: c:\windows\cryptoguard\ 6f18f8ab 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ rgp80a8.30c0 威胁已删除
文件: c:\windows\cryptoguard\ 160a8a18 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ fi6pa.rt0y 威胁已删除
文件: c:\windows\cryptoguard\ 8c41743c 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 84qiwq455n.pu3 威胁已删除
文件: c:\windows\cryptoguard\ 99294078 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 2ea6m.t6h 威胁已删除
文件: c:\windows\cryptoguard\ 89e21c52 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ kgr8t3.a6 威胁已删除
文件: c:\windows\cryptoguard\ 4d87cfde 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ fnl7ehp7bf.3h 威胁已删除
文件: c:\windows\cryptoguard\ 219ae759 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ v0ldw3n.88x7 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 0wxg6a.ch2ug 威胁已删除
文件: c:\windows\cryptoguard\ 58c5fee8 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ els02.x11 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ ogqm7f0y.i8 威胁已删除
文件: c:\windows\cryptoguard\ cf188168 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ ar51u86.05fc 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 0myl2t7p.8t 威胁已删除
文件: c:\windows\cryptoguard\ 96180237 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ gug72a3gri.i6 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ yp777.hmw5 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ zyv8jynm8.7k 威胁已删除
文件: c:\windows\cryptoguard\ d52cd4f5 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 8jzho4o.m5 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ do93ak.df5c0 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 6lokokbmf2.3t1y 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ on750w.s0 威胁已删除
文件: c:\windows\cryptoguard\ 8bb9888a 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ utzp8zhf.z3n 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ bzqox8an7q.2nx 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ ld4qxwztt.cf9gp 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ m753y.luz11 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ pkbfr0i.72 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 56l4c1.j11 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ oojg3033.3mbs 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ xx4hui.o2 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 2t5r9nm7c1.5z62m 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ iwkmis2e.1c6 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ lwmr7os2.m030 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 83367eck7.8zf 威胁已删除
文件: c:\windows\cryptoguard\ f57be3ea 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 3lk10.6u8o 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 4d4dea.36 威胁已删除
文件: c:\windows\cryptoguard\ 94959838 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ odnnkoiu72.3r 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ pvjfkha3n.m3q 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ y1ifhc5tg.thp02 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ fmiz39zn8.ho5yg 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 8kpr7.747jm 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 10spirj.8peg8 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 0w6reg67d.h6v 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 0bdej6.x7 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 306iivx.45uc 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ a437pl.49 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ p6e90yy.0k5 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ u8m83x2j8d.kw0 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ w8r61gb8xv.8m3 威胁已删除
文件: c:\windows\cryptoguard\ 9a7dddb8 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ xt1xwu7.1w 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ tqdsa5.misc5 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 1in7rb4pc.ad931 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ l006k.3jt 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ h8nw4.9v 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ j67vd.8bz2v 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 1xycbdz6.88 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 30d8j23mg.e2 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ a7d0f.9pn00 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 6385xx6d5o.g7pw 威胁已删除
文件: c:\windows\cryptoguard\ 66367386 威胁已删除
文件: c:\windows\cryptoguard\ aa22d287 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ lzp1k.u9wr5 威胁已删除
文件: c:\windows\cryptoguard\ ee0f3188 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 1c75c8g.4b8h 威胁已删除
文件: c:\windows\cryptoguard\ 31fb9089 威胁已删除
文件: c:\windows\cryptoguard\ 75e7ef8a 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ u8g5a7.9zjn0 威胁已删除
文件: c:\windows\cryptoguard\ b9d44e8b 威胁已删除
文件: c:\windows\cryptoguard\ fdc0ad8c 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ k6tgwoor.61h2h 威胁已删除
文件: c:\windows\cryptoguard\ b09db7c2 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ g92yibe0.2ey 威胁已删除
文件: c:\windows\cryptoguard\ f48a16c3 威胁已删除
文件: c:\windows\cryptoguard\ 387675c4 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ pr216v.0f 威胁已删除
文件: c:\windows\cryptoguard\ 7c62d4c5 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ ws0lh.q037 威胁已删除
文件: c:\windows\cryptoguard\ c04f33c6 威胁已删除
文件: c:\windows\cryptoguard\ 043b92c7 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ kx06pr8pe.n1 威胁已删除
文件: c:\windows\cryptoguard\ 4827f1c8 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ k67i8.ee23 威胁已删除
文件: c:\windows\cryptoguard\ 8c1450c9 威胁已删除
文件: c:\windows\cryptoguard\ d000afca 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 5gtsr0q.5i 威胁已删除
文件: c:\windows\cryptoguard\ 13ed0ecb 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ j0z09y9.m8ec 威胁已删除
文件: c:\windows\cryptoguard\ c6ca1901 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 3fwheh.5ky 威胁已删除
文件: c:\windows\cryptoguard\ 0ab67802 威胁已删除
文件: c:\windows\cryptoguard\ 4ea2d703 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 4bz1xhp76.11 威胁已删除
文件: c:\windows\cryptoguard\ 928f3604 威胁已删除
文件: c:\windows\cryptoguard\ d67b9505 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 250eap5z.c0 威胁已删除
文件: c:\windows\cryptoguard\ 1a67f406 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ kw6p83lq.w4 威胁已删除
文件: c:\windows\cryptoguard\ 5e545307 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 8j80z.9b 威胁已删除
文件: c:\windows\cryptoguard\ a240b208 威胁已删除
文件: c:\windows\cryptoguard\ e62d1109 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ jczd8.wh6vk 威胁已删除
文件: c:\windows\cryptoguard\ 2a19700a 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ s6hm3yziq.yj3n 威胁已删除
文件: c:\windows\cryptoguard\ dcf67a40 威胁已删除
文件: c:\windows\cryptoguard\ 20e2d941 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 2stzq.f52wm 威胁已删除
文件: c:\windows\cryptoguard\ 64cf3842 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 1yowzq6.waid8 威胁已删除
文件: c:\windows\cryptoguard\ a8bb9743 威胁已删除
文件: c:\windows\cryptoguard\ eca7f644 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ d42lf8.s5 威胁已删除
文件: c:\windows\cryptoguard\ 30945545 威胁已删除
文件: c:\windows\cryptoguard\ 7480b446 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ nrqoxpl6l.xuq7 威胁已删除
文件: c:\windows\cryptoguard\ b86d1347 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ gcvb3n8wco.67s8r 威胁已删除
文件: c:\windows\cryptoguard\ fc597248 威胁已删除
文件: c:\windows\cryptoguard\ 4045d149 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ u4oot83mij.zr5h 威胁已删除
文件: c:\windows\cryptoguard\ f322db7f 威胁已删除
文件: c:\windows\cryptoguard\ 370f3a80 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ i3bjdm.68of 威胁已删除
文件: c:\windows\cryptoguard\ 7afb9981 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ talmfb0sgj.66r 威胁已删除
文件: c:\windows\cryptoguard\ bee7f882 威胁已删除
文件: c:\windows\cryptoguard\ 02d45783 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ p9d0z5p90.2d 威胁已删除
文件: c:\windows\cryptoguard\ 46c0b684 威胁已删除
文件: c:\windows\cryptoguard\ 8aad1585 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ mfx600cq1f.ps3lw 威胁已删除
文件: c:\windows\cryptoguard\ ce997486 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 8e2b90ue.c9e 威胁已删除
文件: c:\windows\cryptoguard\ 1285d387 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ f0dhr.dry4i 威胁已删除
文件: c:\windows\cryptoguard\ 56723288 威胁已删除
文件: c:\windows\cryptoguard\ 094f3cbe 威胁已删除
文件: c:\windows\cryptoguard\ 4d3b9bbf 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ hnmbt0szsf.sz76f 威胁已删除
文件: c:\windows\cryptoguard\ 9127fac0 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ ca89u0hib8.m5 威胁已删除
文件: c:\windows\cryptoguard\ d51459c1 威胁已删除
文件: c:\windows\cryptoguard\ 1900b8c2 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ t1nfyt3k4.0xu 威胁已删除
文件: c:\windows\cryptoguard\ 5ced17c3 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 57cthm7240.xj9 威胁已删除
文件: c:\windows\cryptoguard\ a0d976c4 威胁已删除
文件: c:\windows\cryptoguard\ e4c5d5c5 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 0ybke.q21 威胁已删除
文件: c:\windows\cryptoguard\ 28b234c6 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 9nxyxlmzy.69c8 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ qk9jvlxlba.7z 威胁已删除
文件: c:\windows\cryptoguard\ 6c9e93c7 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ p1o8v.h0l0f 威胁已删除
文件: c:\windows\cryptoguard\ 1f7b9dfd 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 0rmf6ts.osd9 威胁已删除
文件: c:\windows\cryptoguard\ 6367fcfe 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ if2hrzmwg9.wn86 威胁已删除
文件: c:\windows\cryptoguard\ a7545bff 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ 76875o3t5o.v0 威胁已删除
文件: c:\windows\cryptoguard\ eb40bb00 威胁已删除
文件: c:\programdata\nortoninstaller\logs\ jt8yx3z.4fsf6 威胁已删除
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用
[/mw_shl_code]

断簪

过ESET
KES： UDS:DangerousPattern.Multi.Generic

墨家小子

断簪 发表于 2016-1-1 11:37
过ESET

双击的话估计过不了ESET的内存扫描，建议关闭内存扫描，看看ESET的HIPS防御情况

断簪

墨家小子 发表于 2016-1-1 11:39
双击的话估计过不了ESET的内存扫描，建议关闭内存扫描，看看ESET的HIPS防御情况

条件不允许

xiaofeizei

fs 扫描

电脑发烧友

275751198

360不报

断簪

墨家小子 发表于 2016-1-1 11:39
双击的话估计过不了ESET的内存扫描，建议关闭内存扫描，看看ESET的HIPS防御情况

实机双击了 ESET没拦截到 KES的SW也没有 HMPA没反应
已经任务管理器结束 没有发现被加密文档

墨家小子

断簪 发表于 2016-1-1 11:54
实机双击了 ESET没拦截到 KES的SW也没有 HMPA没反应
已经任务管理器结束 没有发现被加密文档

对比我的截图（有最终连回服务器的地址）看看svchost连到哪里去了
有HMPA不担心被加密文档
你什么系统，ESET的HIPS应该能拦截到注入explorer，交互模式吗？

墨家小子

275751198 发表于 2016-1-1 11:49
360不报

双击啊，看看数字能不能拦截到