File name: radB6EB1.tmp.exe Detection ratio: 2 / 55 加密勒索挂马

墨家小子

SHA256:        92255028a572be124c52ab51c61d5606afaca2a5dab33f175b6d78d866fd717e
File name:        radB6EB1.tmp.exe
Detection ratio:        2 / 55
Analysis date:        2016-01-06 05:45:05 UTC ( 1 minute ago )
https://www.virustotal.com/en/fi ... nalysis/1452059105/
McAfee-GW-Edition        BehavesLike.Win32.PWSZbot.fc        20160106
Rising        PE:Malware.RDM.22!5.1C [F]        20160105

蓝天二号

双击，，，卡巴

狐狸糊涂

BD第一次双击，ATC没有反应。。BD文件防护拦截。。系统蓝屏。。。


第二次双击，提示异常关机，但并没有关机，ATC拦截。

第三次双击，ATC干掉样本

是不是我的是电脑：双核，虚拟机只能单核。然后影响到BD的ATC发挥，所以拦截慢了半拍？

兜里揣着メ壹块

FS

steven_lzs

ESS miss

杀软神马

AVA 25.5109
GD 25.6149

*** 进程 ***

进程: 5652
文件名: radb6eb1.tmp.exe
路径: c:\users\沙勇军\desktop\radb6eb1.tmp.exe

发行商：: 未知发行商
创建日期: 01/06/16 07:36:18
修改日期: 01/06/16 05:43:23

启动进程：: start.exe
发行商：: Invincea, Inc.


*** 操作 ***

程序正试图建立自启动项，以在系统启动时自动运行。
程序已创建或已操作可执行文件。


*** 隔离区 ***

下列文件被转入隔离区：
C:\Users\沙勇军\Desktop\radB6EB1.tmp.exe
c:\sandbox\沙勇军\defaultbox\user\current\appdata\roaming\1f0838934\c6db2.exe
c:\sandbox\沙勇军\defaultbox\user\current\desktop\radb6eb1.tmp.exe

下列注册表项被删除：

\registry\user\sandbox_沙勇军_defaultbox\machine\software\wow6432node\microsoft\windows nt\currentversion\systemrestore || disablesr
\registry\user\sandbox_沙勇军_defaultbox\user\current\software\microsoft\windows\currentversion\run || 1f0838934

YGLRmnIJLCcpJiYnCS0nKCYmJwguJ2f6coIqJ2e4gC4nKCYmJwi5YtGa4pAtJwjpcoJiYnKCoCwnKCYmJwibcnJiYnJywC8nKCYmJwiNcoJiYnKCcKdygnD3cnJiYnJycLlycmJicnJwuoJxNWYqKRrGNWYrJxhXY6aCcNpygmJicoJw/HKCYmJygnCOcnJwnnKCLyfocnJw3nJyYmJycnCvcnJiYnJygJZyggAA
规则版本： 5.0.77
OS: Windows 6.1 Service Pack 1.0 Build: 7601 - Workstation 64bit OS
DLL版本： 55982

"C:\Users\沙勇军\Desktop\radB6EB1.tmp.exe"
MD5: B25752D4D92E7D423CE28286F21CF9DB
"C:\Program Files\Sandboxie\Start.exe" /env:00000000_SBIE_CURRENT_DIRECTORY="C:\Users\沙勇军\Desktop" /env:=Refresh /elevate "C:\Users\沙勇军\Desktop\radB6EB1.tmp.exe"
MD5:

vm001

360主防又改进了..允许样本注入系统进程，也会拦截危险操作了

lixihong10

发现勒索病毒ESET不杀，但是都死于高级内存扫描。
更具最近样本总结~

胖福

文件名: radb6eb1.tmp.exe
威胁名称: SONAR.SuspBeh!gen115完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
不可用

上次使用时间 
(  )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


radb6eb1.tmp.exe 威胁名称: SONAR.SuspBeh!gen115
定位


未知
诺顿社区中使用了此文件的用户数 未知。

未知
此文件版本当前 未知。

高
此文件具有高风险。


____________________________


来源: 外部介质


____________________________

文件操作

文件: f:\norton样本\临时收集\ radb6eb1.tmp.exe 不需要操作
目录: c:\users\administrator\appdata\roaming\ 737e7a9d0 不需要操作
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Run->737e7a9d0 不需要操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\radb6eb1.tmp.exe, PID:5268) 未采取操作
(执行者 f:\norton样本\临时收集\radb6eb1.tmp.exe, PID:5268) 未采取操作
事件: 进程启动: c:\Windows\ explorer.exe, PID:5308 (执行者 f:\norton样本\临时收集\radb6eb1.tmp.exe, PID:5268) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ radb6eb1.tmp.exe, PID:5268 (执行者 f:\norton样本\临时收集\radb6eb1.tmp.exe, PID:5268) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\roaming\737e7a9d0\ 923ac.exe (执行者 f:\norton样本\临时收集\radb6eb1.tmp.exe, PID:5268) 未采取操作
____________________________

可疑操作

(执行者 f:\norton样本\临时收集\radb6eb1.tmp.exe, PID:5268) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

HEMM

MA感动上苍杀