File name: radB4F5C.tmp.exe Detection ratio: 0 / 54 Neutrino Exploit Kit 挂马

墨家小子

SHA256:        d6cabc66371f2b87f7573c6b066f3df407d546a29c8c9258175e7052b9679925
File name:        radB4F5C.tmp.exe
Detection ratio:        0 / 54
Analysis date:        2016-01-01 14:02:23 UTC ( 1 minute ago )
https://www.virustotal.com/en/fi ... nalysis/1451656943/



终于看到一个新鲜全灭挂马样本了…… 还是加密勒索的，什么云啊，都是白扯，第一批牺牲的用户赶不上云响应的

aiqinghe

请问这个测过诺顿的sonar和IPS了吗？没虚拟机不敢双击

开开心心卖手机

TR/Crypt.ZPACK.Gen4 (Cloud)
要真遇到了估计现在的装备都防不住

墨家小子

aiqinghe 发表于 2016-1-1 22:13
请问这个测过诺顿的sonar和IPS了吗？没虚拟机不敢双击

文件名: radb4f5c.tmp.exe
威胁名称: SONAR.SuspBeh!gen3完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2016/1/1 ( 22:01:12 )

上次使用时间 
2016/1/1 ( 22:01:12 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


radb4f5c.tmp.exe 威胁名称: SONAR.SuspBeh!gen3
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
explorer.exe

创建的文件:
radb4f5c.tmp.exe

____________________________

文件操作

文件: c:\users\AA\desktop\1\ radb4f5c.tmp.exe 威胁已删除
目录: c:\Users\AA\AppData\Roaming\ 77a829663 需要重新启动
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-882639051-1261622828-682048811-1001\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\S-1-5-21-882639051-1261622828-682048811-1001\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyOverride:<local>, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\S-1-5-21-882639051-1261622828-682048811-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings->AutoConfigURL:http://127.0.0.1:1080/ pac?t=201601012204039880, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\S-1-5-21-882639051-1261622828-682048811-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:..., 注册表配置单元: 64 位 已修复
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\AA\desktop\1\radb4f5c.tmp.exe, PID:7076) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ explorer.exe, PID:2152 (执行者 c:\users\AA\desktop\1\radb4f5c.tmp.exe, PID:7076) 未采取操作
事件: 进程启动: c:\users\AA\desktop\1\ radb4f5c.tmp.exe, PID:7076 (执行者 c:\users\AA\desktop\1\radb4f5c.tmp.exe, PID:7076) 未采取操作
事件: 进程启动: c:\Windows\SysWOW64\ svchost.exe, PID:6168 (执行者 c:\users\AA\desktop\1\radb4f5c.tmp.exe, PID:7076) 未采取操作
____________________________

可疑操作

(执行者 c:\users\AA\desktop\1\radb4f5c.tmp.exe, PID:7076) 未采取操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\users\AA\desktop\1\radb4f5c.tmp.exe, PID:7076) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

nick20010117

墨家小子

aiqinghe 发表于 2016-1-1 22:13
请问这个测过诺顿的sonar和IPS了吗？没虚拟机不敢双击

你为什么那么虚弱需要IPS来保驾护航，难道你也像那些半天都不敢测试，必须等到云拉黑才敢回帖的人吗？测试诺顿只要玩好声纳就可以了，用得着武装到牙齿还要把样本丢进沙盘里还说我这是实机双击吗？千万别相信样本区那些总是喜欢搞些大新闻的人啊兄弟

电脑发烧友

清除后依旧蓝屏，但是无后续影响，ARK检查过，EAV扫描过

潘中医

火绒杀，昨天的库

aiqinghe

墨家小子 发表于 2016-1-1 22:21
你为什么那么虚弱需要IPS来保驾护航，难道你也像那些半天都不敢测试，必须等到云拉黑才敢回帖的人吗？测 ...

感觉折腾不起啊昨天刚从ESET转到诺顿上来的。话说诺顿最新版的sonar能达到90%以上的拦截吗？我把NS的启发式和sonar都设置成了主动，但还是不太敢

电脑发烧友

aiqinghe 发表于 2016-1-1 22:28
感觉折腾不起啊昨天刚从ESET转到诺顿上来的。话说诺顿最新版的sonar能达到90%以上的拦截吗？[:346 ...

没事，我已经试了，COMODO点击清除立刻蓝屏，不过经检查，暂未发现后遗症（win10*64）