File name: rad4CF5D.tmp.exe Detection ratio: 1 / 54 加密勒索挂马 瑞星继续领先

windows7爱好者

275751198 发表于 2016-1-7 20:05
本系列一如既往的上报
@windows7爱好者
双击靠你了，and这个是加密勒索，请你小心。

今晚有工作，有时间我就来双击

ccboxes

瑞星只是报壳而已啊。。。。。。。
这个样子没有云端白名单误报率绝对惊人啊。

kxmp

墨家小子 发表于 2016-1-7 20:09
你在用beta版了？

稳定版

windows7爱好者

275751198 发表于 2016-1-7 20:05
本系列一如既往的上报
@windows7爱好者
双击靠你了，and这个是加密勒索，请你小心。

，防御成功，x64环境，文档完好无损

蓝泽祈

program has crashed: rad4CF5D.tmp.exe

HEMM

sunnyjianna

过ESET，瑞星看来要雄起的节奏啊

时间;扫描程序;对象类型;对象;威胁;操作;用户;信息;哈希
2016/1/8 14:06:31;文档防护;文件;https://att.kafan.cn/forum.php?mo ... ;Win32/Filecoder.FJ 特洛伊木马;已删除;NELUMBONUCIFERA\duo;;

aboringman

SCEP：实机双击（不入沙），出现Behaviour杀（Level：severe）。

首先是动态签名：
Microsoft 反恶意软件 已检测到恶意软件或其他可能不需要的软件。
有关更多信息，请查看下列内容:
http://go.microsoft.com/fwlink/? ... threatid=2147689774
        名称: Trojan:Win32/Repexit
        ID: 2147689774
        严重性: 严重
        类别: 特洛伊木马
        路径: file:_C:\Users\killer\AppData\Roaming\9bc63307b\44ee058.exe;regkey:_HKCU@S-1-5-21-1910074467-3606790842-1030588025-1005\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\9bc63307b;runkey:_HKCU@S-1-5-21-1910074467-3606790842-1030588025-1005\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\9bc63307b
        检测原点: 本地计算机
        检测类型: 动态签名
        检测源: 系统
        用户: NT AUTHORITY\SYSTEM
        进程名称: Unknown
        签名版本: AV: 1.213.1990.0, AS: 1.213.1990.0, NIS: 115.28.0.0
        引擎版本: AM: 1.1.12400.0, NIS: 2.1.11804.0

再来Behaviour：
Microsoft 反恶意软件 已检测到恶意软件或其他可能不需要的软件。
有关更多信息，请查看下列内容:
http://go.microsoft.com/fwlink/? ... threatid=2147708100
        名称: Behavior:Win32/Crowti.I
        ID: 2147708100
        严重性: 严重
        类别: 可疑行为
        路径: behavior:_pid:4436:624192957144384;file:_C:\Users\killer\AppData\Roaming\9bc63307b\44ee058.exe;process:_pid:1016,ProcessStart:130966530045136718;process:_pid:4436,ProcessStart:130966530025283203;regkey:_HKCU@S-1-5-21-1910074467-3606790842-1030588025-1005\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\9bc63307b;runkey:_HKCU@S-1-5-21-1910074467-3606790842-1030588025-1005\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\9bc63307b
        检测原点: 本地计算机
        检测类型: 具体
        检测源: 系统
        用户: NT AUTHORITY\SYSTEM
        进程名称: Unknown
        签名版本: AV: 1.213.1990.0, AS: 1.213.1990.0, NIS: 115.28.0.0
        引擎版本: AM: 1.1.12400.0, NIS: 2.1.11804.0

@驭龙

zst470396853

卡巴   KILL

胖福

文件名: rad4cf5d.tmp.exe
威胁名称: SONAR.Heuristic.132完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2016-1-8 ( 07:38:28 )

上次使用时间 
2016-1-8 ( 07:38:28 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


rad4cf5d.tmp.exe 威胁名称: SONAR.Heuristic.132
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
rad4cf5d.tmp.exe

____________________________

文件操作

文件: f:\norton样本\临时收集\ d 威胁已删除
受感染文件: f:\norton样本\临时收集\ rad4cf5d.tmp.exe 不需要操作
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Google\ Google Pinyin 2->ActiveTime:1452209867 已修复
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ SystemRestore->DisableSR:0 已修复
注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ BITS->Start:2 已修复
注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ ERSvc->Start:2 已修复
注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ wscsvc->Start:2 已修复
注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ wuauserv->Start:2 已修复
注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinDefend\ ->Start:3 已修复
注册表更改: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WerSvc\ ->Start:3 已修复
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\rad4cf5d.tmp.exe, PID:5312) 未采取操作
(执行者 f:\norton样本\临时收集\rad4cf5d.tmp.exe, PID:5312) 未采取操作
事件: 进程启动: c:\Windows\ explorer.exe, PID:4660 (执行者 f:\norton样本\临时收集\rad4cf5d.tmp.exe, PID:5312) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ rad4cf5d.tmp.exe, PID:5312 (执行者 f:\norton样本\临时收集\rad4cf5d.tmp.exe, PID:5312) 未采取操作
____________________________

可疑操作

(执行者 f:\norton样本\临时收集\rad4cf5d.tmp.exe, PID:5312) 未采取操作
____________________________


文件指纹 - SHA:
7dcbe554db7c951a8d340192ad2519d3e2816f944b3272d9f39f8d5aaec3410d
文件指纹 - MD5:
不可用