File name: 8936413.exe Detection ratio: 4 / 43 过SSF系列品种，X64系统专用

胖福

文件名: 8936413.exe
威胁名称: SONAR.SelfHijack!gen1完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2016-1-8 ( 07:45:05 )

上次使用时间 
2016-1-8 ( 07:45:05 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


8936413.exe 威胁名称: SONAR.SelfHijack!gen1
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
8936413.exe

____________________________

文件操作

文件: f:\norton样本\临时收集\ 8936413.exe 威胁已删除
事件: 正在运行进程: f:\norton样本\临时收集\ 8936413.exe 已终止
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\8936413.exe, PID:5124) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 8936413.exe, PID:1344 (执行者 f:\norton样本\临时收集\8936413.exe, PID:5124) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 8936413.exe, PID:5124 (执行者 f:\norton样本\临时收集\8936413.exe, PID:5124) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

sunnyjianna

时间;扫描程序;对象类型;对象;威胁;操作;用户;信息;哈希
2016/1/8 14:09:44;文档防护;文件;https://att.kafan.cn/forum.php?mo ... MjY5;Win32/Kovter.D 特洛伊木马;已删除;NELUMBONUCIFERA\duo;;
2016/1/8 14:09:42;文档防护;文件;https://att.kafan.cn/forum.php?mo ... jY5;Win32/Boaxxe.BR 特洛伊木马;已删除;NELUMBONUCIFERA\duo;;

墨家小子

sunnyjianna 发表于 2016-1-8 14:10
时间;扫描程序;对象类型;对象;威胁;操作;用户;信息;哈希
2016/1/8 14:09:44;文档防护;文件;http://att.kaf ...

你这又是换成什么了？

sunnyjianna

墨家小子 发表于 2016-1-8 14:12
你这又是换成什么了？

你用了那么久的依塞塔啊

你看看这么经典的报毒日志

左手

2016-1-8 20:40:19    读文件    阻止
进程: c:\documents and settings\administrator\桌面\8936413.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-1-8 20:40:19    创建文件    阻止
进程: c:\documents and settings\administrator\桌面\8936413.exe
目标: C:\WINDOWS\system32\WBEM\Logs\wbemprox.log
规则: [应用程序]??* -> [文件]c:\windows\system32\wbem\*

2016-1-8 20:40:19    读文件    阻止
进程: c:\documents and settings\administrator\桌面\8936413.exe
目标: \Device\NamedPipe\lsarpc
规则: [文件组]Namedpipe -> [文件]\device\namedpipe\*

2016-1-8 20:40:19    删除注册表值    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\8936413.exe
目标: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\{0A73A989-978D-88CC-0055-E3F8B5DCF27B}
规则: [应用程序]c:\documents and settings\*\* -> [注册表]*\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*

zl181503

火绒拦截

墨家小子

左手 发表于 2016-1-8 20:40
2016-1-8 20:40:19    读文件    阻止
进程: c:\documents and settings\administrator\桌面\8936413.exe
...

32 XP？

墨家小子

sunnyjianna 发表于 2016-1-8 14:13
你用了那么久的依塞塔啊

你看看这么经典的报毒日志

都好久不用了，没key啊，再说BB有点卡卡的感觉

sunnyjianna

墨家小子 发表于 2016-1-9 13:16
都好久不用了，没key啊，再说BB有点卡卡的感觉

坛子里有高人送了我一枚

左手

墨家小子 发表于 2016-1-9 13:16
32 XP？

恩。
家里的电脑硬件配置不太好。