Angler exploit kit (EK) and Neutrino EK混合型新品CryptoWall【2016-01-05】

HEMM

过MA

pal家族

驭龙 发表于 2016-1-5 18:59
这个SWF需要老版本的Flash播放器

可惜了。。。

杀软神马

AVA 25.5098
GD 25.6144

*** 进程 ***

进程: 5420
文件名: 2016-01-05.exe
路径: c:\users\沙勇军\desktop\2016-01-05-malware\2016-01-05.exe

发行商：: 未知发行商
创建日期: 01/05/16 11:15:55
修改日期: 01/04/16 16:26:11

启动进程：: start.exe
发行商：: Invincea, Inc.


*** 操作 ***

程序正试图建立自启动项，以在系统启动时自动运行。
程序已创建或已操作可执行文件。


*** 隔离区 ***

下列文件被转入隔离区：
C:\Users\沙勇军\Desktop\2016-01-05-malware\2016-01-05.exe
c:\sandbox\沙勇军\defaultbox\user\current\appdata\roaming\1f0838934\c6db2.exe
c:\sandbox\沙勇军\defaultbox\user\current\desktop\2016-01-05-malware\2016-01-05.exe

下列注册表项被删除：

\registry\user\sandbox_沙勇军_defaultbox\machine\software\wow6432node\microsoft\windows nt\currentversion\systemrestore || disablesr
\registry\user\sandbox_沙勇军_defaultbox\user\current\software\microsoft\windows\currentversion\run || 1f0838934

YGLRmnIILCcpJiYnCS0nKCYmJwguJ2eLcoItJ2e4gC4nKCYmJwi5YtGa4pAtJwjpcoJiYnKCoCwnKCYmJwibcnJiYnJywC8nKCYmJwiNcoJiYnKCcKdygnD3cnJiYnJycLlycmJicnJwuoJxNWYqKRnrNWYrJxhXY6aCcNpygmJicoJw/HKCYmJygnCOcnJw3nJyYmJycnCvcnJiYnJygJZyggAA
规则版本： 5.0.77
OS: Windows 6.1 Service Pack 1.0 Build: 7601 - Workstation 64bit OS
DLL版本： 55982

"C:\Users\沙勇军\Desktop\2016-01-05-malware\2016-01-05.exe"
MD5: E86DACA8ABDAF5915D5B93283B62E954
"C:\Program Files\Sandboxie\Start.exe" /env:00000000_SBIE_CURRENT_DIRECTORY="C:\Users\沙勇军\Desktop\2016-01-05-malware" /env:=Refresh /elevate "C:\Users\沙勇军\Desktop\2016-01-05-malware\2016-01-05.exe"
MD5:

ther

trendmicro
名稱:        2016-01-05.exe
寄件人:        未知
版本:       
版權所有:       
偵測到的資源或程序 ID:        ZwMapViewOfSection
回應:        已清除
安全威脅:        HEU_AEGISCS969
來源類型:        安全威脅
受影響的檔案:        C:\Users\ther1\Desk…\2016-01-05.exe
處理行動:        已移除
偵測方式:        即時掃瞄

lixihong10

只试了下SWF，用的PotPlayer

双击SWF就执行CMD执行JS 允许。

开始执行脚本了 允许。

允许

看下带的参数

解析  允许

联网。
地址解析失败。估计被墙了。

[mw_shl_code=html,true]http://xktzjm.topcentc.top/dizzy/1473965/shutter-silk-frantic-place-strike-pale-brood

http://xktzjm.topcentc.top/1990/ ... wer-heel-sleep.html
[/mw_shl_code]

墨家小子

lixihong10 发表于 2016-1-5 19:44
只试了下SWF，用的PotPlayer

双击SWF就执行CMD执行JS 允许。

毛墙，失效了都，还新鲜呢，都说玩了好几天了还嘴硬

看这些截图，不觉得熟悉？只不过把splayers.exe换成ie罢了

四天前就出现了

lixihong10

墨家小子 发表于 2016-1-5 20:00
毛墙，失效了都，还新鲜呢，都说玩了好几天了还嘴硬

看这些截图，不觉得熟悉？只不过把splayers.exe ...

表示几次看到这个就今天这个能打开。。。。
之前的swf没看到效果。

墨家小子

lixihong10 发表于 2016-1-5 20:04
表示几次看到这个就今天这个能打开。。。。
之前的swf没看到效果。

重点要看到这一步，不然你是进不去极乐世界的

驭龙

墨家小子 发表于 2016-1-5 20:00
毛墙，失效了都，还新鲜呢，都说玩了好几天了还嘴硬

看这些截图，不觉得熟悉？只不过把splayers.exe ...

不是我嘴硬，然而你并没有发这个SWF，不是么？在卡饭这个SWF确实是新品了，哈

墨家小子

驭龙 发表于 2016-1-5 20:14
不是我嘴硬，然而你并没有发这个SWF，不是么？在卡饭这个SWF确实是新品了，哈

我挂马网页都不发呢，还发SWF？