File name: 9907893.exe Detection ratio: 1 / 54

墨家小子

SHA256:        d566a851468e589105d3079d81bc8d20e981fe310c6fd98ed7dbf271acb92f4d
File name:        9907893.exe
Detection ratio:        1 / 54
Analysis date:        2016-01-04 09:58:09 UTC ( 1 minute ago )
https://www.virustotal.com/en/fi ... nalysis/1451901489/

驭龙

昨天和今天上午TrendMicro的网络过滤引擎驱动已经让我系统崩溃两次，只能忍痛卸载，现在裸奔中，就不测了，因为我的裸奔是WD开启了，WD的Spursint杀真的是大杀四方，所以我就不测了，只是来点个赞，支持一下

墨家小子

驭龙 发表于 2016-1-4 18:08
昨天和今天上午TrendMicro的网络过滤引擎驱动已经让我系统崩溃两次，只能忍痛卸载，现在裸奔中，就不测了， ...

要是关闭那个什么漏洞防御呢?要不是你说，我之前安装趋势根本打不开IE

蓝泽祈

沙盘运行，诺顿过了一会才反应过来

文件名: 9907893.exe
威胁名称: SONAR.Heuristic.138完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2016/1/4/星期一 ( 18:19:43 )

上次使用时间 
2016/1/4/星期一 ( 18:19:43 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


9907893.exe 威胁名称: SONAR.Heuristic.138
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
7zfm.exe

创建的文件:
9907893.exe

____________________________

文件操作

文件: c:\sandbox\songm\defaultbox\user\current\appdata\local\temp\7zo4f0edfd3\ 9907893.exe 不需要操作
事件: 正在运行进程: c:\sandbox\songm\defaultbox\user\current\appdata\local\temp\7zo4f0edfd3\ 9907893.exe 已终止
____________________________

注册表操作

注册表更改: HKEY_USERS\SANDBOX_SONGM_DEFAULTBOX\user\current_classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache->C:\Sandbox\songm\DefaultBox\user\current\AppData\Local\Temp\7zO4F0EDFD3\ 9907893.exe.FriendlyAppName, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\SANDBOX_SONGM_DEFAULTBOX\user\current_classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache->C:\Sandbox\songm\DefaultBox\user\current\AppData\Local\Temp\7zO4F0EDFD3\ 9907893.exe.ApplicationCompany, 注册表配置单元: 64 位 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\sandbox\songm\defaultbox\user\current\appdata\local\temp\7zo4f0edfd3\9907893.exe, PID:8804) 未采取操作
事件: 进程启动: c:\sandbox\songm\defaultbox\user\current\appdata\local\temp\7zo4f0edfd3\ 9907893.exe, PID:8600 (执行者 c:\sandbox\songm\defaultbox\user\current\appdata\local\temp\7zo4f0edfd3\9907893.exe, PID:8804) 未采取操作
事件: 进程启动: c:\sandbox\songm\defaultbox\user\current\appdata\local\temp\7zo4f0edfd3\ 9907893.exe, PID:8804 (执行者 c:\sandbox\songm\defaultbox\user\current\appdata\local\temp\7zo4f0edfd3\9907893.exe, PID:8804) 未采取操作
____________________________

可疑操作

事件: 尝试在进程地址空间内启动远程线程 (执行者 c:\sandbox\songm\defaultbox\user\current\appdata\local\temp\7zo4f0edfd3\9907893.exe, PID:8804) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

墨家小子

蓝泽祈 发表于 2016-1-4 18:21
沙盘运行，诺顿过了一会才反应过来

文件名: 9907893.exe

我这里这个样本狂占CPU，20%，然后报错退出，X64，8.1

驭龙

墨家小子 发表于 2016-1-4 18:18
要是关闭那个什么漏洞防御呢?要不是你说，我之前安装趋势根本打不开IE

不一样的，我这是因为流量发起数据导致的内存溢出，是这个tmeevw驱动导致的问题，所以关闭AntiExploit是无法解决的，因为是流量监控的驱动问题，唉，我现在都没有玩的了，正考虑要不要用DrWeb，因为DrWeb也有Exploit Prevention这样的功能，现在防Exploit比什么都重要

墨家小子

驭龙 发表于 2016-1-4 18:24
不一样的，我这是因为流量发起数据导致的内存溢出，是这个tmeevw驱动导致的问题，所以关闭AntiExploit是 ...

那你还不如用HMPA呢，小巧

驭龙

墨家小子 发表于 2016-1-4 18:25
那你还不如用HMPA呢，小巧

之前也玩过，不过虽然表面上拦截效果惊天动地，可我感觉这货只不过是小众产品，没有黑客专攻它，要不然被过并不难，而且驱动层并不强，所以不适合我

xyz0703

04.01.2016 19.50.36;检测到的对象（文件）已删除。;C:\Users\XYZ\Desktop\9907893.exe;Microsoft Windows Search Protocol Host;C:\Users\XYZ\Desktop\9907893.exe;01/04/2016 19:50:36;UDS:DangerousObject.Multi.Generic

paul_guo

ESET入库