File name: rad9A787.tmp.exe Detection ratio: 1 / 54 加密勒索挂马，截取屏幕或窗口

显示全部楼层 · 发表于 2016-1-8 09:52:33

SHA256: 6d476b582947cdcd2e229f5e3506a16ead119150a5dabb55066b2b80b960c71b
File name: rad9A787.tmp.exe
Detection ratio: 1 / 54
Analysis date: 2016-01-08 01:49:52 UTC ( 1 minute ago )
https://www.virustotal.com/en/fi ... nalysis/1452217792/
Qihoo-360 HEUR/QVM10.1.Malware.Gen 20160108

显示全部楼层 · 发表于 2016-1-8 09:57:02

@aboringman 来试一试SCEP的双击

显示全部楼层 · 发表于 2016-1-8 10:05:35

CIS 9
Viruscope
Generic.Infector.5
beta版有时候自动沙盒会失效，只能手动入沙，不知为啥

显示全部楼层 · 发表于 2016-1-8 10:07:06

本帖最后由 pal家族于 2016-1-8 10:14 编辑

卡巴miss
双击主防可以拦截。。。。md反应慢了。。影子系统被卡巴重启了。。。没截图到。。。

显示全部楼层 · 发表于 2016-1-8 11:48:53

文件名: rad9a787.tmp.exe
威胁名称: SONAR.Heuristic.132完整路径: 不可用

____________________________

____________________________

在电脑上的创建时间
2016-1-8 ( 11:47:23 )

上次使用时间
2016-1-8 ( 11:47:23 )

启动项目
否

已启动
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________

rad9a787.tmp.exe 威胁名称: SONAR.Heuristic.132
定位

极少用户信任的文件
诺顿社区中有不到 5 名用户使用了此文件。

极新的文件
该文件已在不到 1 周前发行。

高
此文件具有高风险。

____________________________

来源: 外部介质

源文件:
rad9a787.tmp.exe

____________________________

文件操作

文件: f:\norton样本\临时收集\ rad9a787.tmp.exe 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\ SessionInfo 威胁已删除
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\SessionInfo\ 00000000000185a8 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\SessionInfo\00000000000185a8\ Start 不需要操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\rad9a787.tmp.exe, PID:2228) 未采取操作
事件: 进程启动: c:\Windows\ explorer.exe, PID:6032 (执行者 f:\norton样本\临时收集\rad9a787.tmp.exe, PID:2228) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ rad9a787.tmp.exe, PID:2228 (执行者 f:\norton样本\临时收集\rad9a787.tmp.exe, PID:2228) 未采取操作
____________________________

可疑操作

(执行者 f:\norton样本\临时收集\rad9a787.tmp.exe, PID:2228) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

显示全部楼层 · 发表于 2016-1-8 16:42:05

时间;扫描程序;对象类型;对象;威胁;操作;用户;信息;哈希
2016/1/8 16:41:45;文档防护;文件;https://att.kafan.cn/forum.php?mo ... ;Win32/Filecoder.FJ 特洛伊木马;已删除;NELUMBONUCIFERA\duo;;

显示全部楼层 · 发表于 2016-1-8 18:22:09

驭龙发表于 2016-1-8 09:57
@aboringman 来试一试SCEP的双击

我来了，刚刚从停机状态下恢复。。。。。。

显示全部楼层 · 发表于 2016-1-8 18:24:54

aboringman 发表于 2016-1-8 18:22
我来了，刚刚从停机状态下恢复。。。。。。

没事，慢慢玩，反正入库也能双击玩，不用着急

显示全部楼层 · 发表于 2016-1-8 18:27:10

SCEP：实机双击（不入沙），动态签名+Behavior报法再度出现。

动态签名杀：

Microsoft 反恶意软件已检测到恶意软件或其他可能不需要的软件。
有关更多信息，请查看下列内容:
http://go.microsoft.com/fwlink/? ... threatid=2147684191
名称: Ransom:Win32/Crowti.A
ID: 2147684191
严重性: 严重
类别: 特洛伊木马
路径: file:_C:\Users\killer\AppData\Roaming\9bc63307b\44ee058.exe
检测原点: 本地计算机
检测类型: 动态签名
检测源: 系统
用户: NT AUTHORITY\SYSTEM
进程名称: Unknown
签名版本: AV: 1.213.2121.0, AS: 1.213.2121.0, NIS: 115.28.0.0
引擎版本: AM: 1.1.12400.0, NIS: 2.1.11804.0

还有Behavior：

Microsoft 反恶意软件已检测到恶意软件或其他可能不需要的软件。
有关更多信息，请查看下列内容:
http://go.microsoft.com/fwlink/? ... threatid=2147708100
名称: Behavior:Win32/Crowti.I
ID: 2147708100
严重性: 严重
类别: 可疑行为
路径: behavior:_pid:5044:624192957144384;file:_C:\Users\killer\AppData\Roaming\9bc63307b\44ee058.exe;process:_pid:1396,ProcessStart:130967219223886718;process:_pid:5044,ProcessStart:130967219209453125;regkey:_HKCU@S-1-5-21-1910074467-3606790842-1030588025-1005\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\9bc63307b;runkey:_HKCU@S-1-5-21-1910074467-3606790842-1030588025-1005\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\9bc63307b
检测原点: 本地计算机
检测类型: 具体
检测源: 系统
用户: NT AUTHORITY\SYSTEM
进程名称: Unknown
签名版本: AV: 1.213.2121.0, AS: 1.213.2121.0, NIS: 115.28.0.0
引擎版本: AM: 1.1.12400.0, NIS: 2.1.11804.0

显示全部楼层 · 发表于 2016-1-8 18:27:36

驭龙发表于 2016-1-8 18:24
没事，慢慢玩，反正入库也能双击玩，不用着急

见9楼

[可疑文件] File name: rad9A787.tmp.exe Detection ratio: 1 / 54 加密勒索挂马，截取屏幕或窗口

本帖子中包含更多资源