Detection ratio: 1 / 54 Nuclear Exploit Kit Download 7挂马，截取屏幕或窗口

墨家小子

SHA256:        3884400fda16bf901ff5e1a6ef19a1e23fc5d2fd1d9e50d2db0fe45bd88ace0c
File name:        radACA7F.tmp.exe
Detection ratio:        1 / 54
Analysis date:        2016-01-04 08:13:47 UTC ( 1 minute ago )
https://www.virustotal.com/en/fi ... nalysis/1451895227/
Malwarebytes 也没能拦截到~~
McAfee-GW-Edition        BehavesLike.Win32.PWSZbot.fc        20160104

IPS表示严重关注:2016/1/4 16:05:17,高,阻止了 X.X.X.X 的入侵企图,已阻止,不需要操作,,不需要操作,不需要操作,Web Attack: Nuclear Exploit Kit Download 7,"X.X.X.X, 80",pivosvetloe.tk/052F,"X.X.X.X, 2981",X.X.X.X,"TCP, www-http"

pal家族

心痛的伤不起

已经提取入库

胖福

文件名: radaca7f.tmp.exe
威胁名称: SONAR.Heuristic.120完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2016-1-4 ( 16:30:08 )

上次使用时间 
2016-1-4 ( 16:30:08 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


radaca7f.tmp.exe 威胁名称: SONAR.Heuristic.120
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
radaca7f.tmp.exe

____________________________

文件操作

文件: f:\norton样本\临时收集\ radaca7f.tmp.exe 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\radaca7f.tmp.exe, PID:3796) 未采取操作
(执行者 f:\norton样本\临时收集\radaca7f.tmp.exe, PID:3796) 未采取操作
事件: 进程启动: c:\Windows\ explorer.exe, PID:2852 (执行者 f:\norton样本\临时收集\radaca7f.tmp.exe, PID:3796) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ radaca7f.tmp.exe, PID:3796 (执行者 f:\norton样本\临时收集\radaca7f.tmp.exe, PID:3796) 未采取操作
____________________________

可疑操作

(执行者 f:\norton样本\临时收集\radaca7f.tmp.exe, PID:3796) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

zmzcy

y3312068 发表于 2016-1-4 16:51
已经提取入库

为什么我的wd不杀啊？

驭龙

zmzcy 发表于 2016-1-4 16:59
为什么我的wd不杀啊？

看了一下日志，这个是Dynamic Signature Service的云杀，你那里可能网络不稳定
Internal signature match:subtype=Persist, sigseq=0x000005550CEC95DD, signame=#PERSIST_PEEXEHasIOAVURL, cached=false, resource="\\?\C:\Users\win\Downloads\radACA7F.tmp.rar->radACA7F.tmp.exe"
Internal signature match:subtype=Lowfi, sigseq=0x000005551FE560EF, signame=#PUA:InstallContextMet:Download, cached=false, resource="\\?\C:\Users\win\Downloads\radACA7F.tmp.rar->radACA7F.tmp.exe"
Dynamic Signature has been received
Dynamic Signature Type:Signature Update
Signature Path:C:\ProgramData\Microsoft\Windows Defender\Scans\\RtSigs\Data\77483c3ea8c0ac91e90c68e42a7126d170a52fc0
Dynamic Signature Compilation Timestamp:01-04-2016 17:00:50
Persistence Type:VDM Version
Source Version:282389915435009
Expiration Version:282389915435009
2016-01-04T09:00:50.715Z Dynamic signature received
2016-01-04T09:00:51.280Z DETECTIONEVENT Ransom:Win32/Crowti.A containerfile:C:\Users\win\Downloads\radACA7F.tmp.rar

绅博周幸

心痛的伤不起

驭龙 发表于 2016-1-4 17:07
看了一下日志，这个是Dynamic Signature Service的云杀，你那里可能网络不稳定
Internal signature matc ...

这也是云杀，能科普一下云杀有几种吗

驭龙

y3312068 发表于 2016-1-4 17:27
这也是云杀，能科普一下云杀有几种吗

有时候正常的报毒名是云杀，其原因是这个样本已经准备入库，但特征库还没有发布新版本，所以这个威胁就会云杀，例如这个样本

还有云端的自动化分析系统的云杀，报毒名后面带！plock或者！RTS和！RFN等都是自动化的机器学习云杀，不过只有！RFN这个后缀有时候是特征库杀，并不能一概而论为云杀，但出现plock的时候就百分百是云杀了，当然还有云拉黑的Spursint.A报法

心痛的伤不起

驭龙 发表于 2016-1-4 17:35
有时候正常的报毒名是云杀，其原因是这个样本已经准备入库，但特征库还没有发布新版本，所以这个威胁就会 ...

感谢感谢