KB家族再度来袭，测试证明：Norton + HitmanPro.Alert 效果强于金坷拉 不杀才是王道

墨家小子

sunnyjianna 发表于 2016-1-8 14:31
你行你厉害。。。。。。

低调 低调
我本人就是从事农业土壤研究工作的，我的专业是灌水

cwl12315

等晚上回家我也双击试试声纳
--------------------------------------------------
好吧，win7 64bit 虚拟机
声纳没有一点反应，注销了几次也没动静呢

胖福

实机双击其中一个，SONAR弹了三次提示：



文件名: kb39008937.exe
威胁名称: SONAR.SuspBeh!gen108完整路径: 不可用
____________________________
____________________________

在电脑上的创建时间 
不可用

上次使用时间 
(  )

启动项目 
是

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

kb39008937.exe 威胁名称: SONAR.SuspBeh!gen108
定位

未知
诺顿社区中使用了此文件的用户数 未知。

未知
此文件版本当前 未知。

高
此文件具有高风险。
____________________________

来源: 外部介质
____________________________

文件操作

文件: f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\ kb39008937.exe 不需要操作
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Run->w6bn7ea 不需要操作
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ RunOnce->w6bn7ea 不需要操作
____________________________

网络操作

事件: 网络活动 (执行者 f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\kb39008937.exe, PID:3100) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\kb39008937.exe, PID:3100) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\kb39008937.exe, PID:3112) 未采取操作
事件: 进程启动: f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\ kb39008937.exe, PID:3100 (执行者 f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\kb39008937.exe, PID:3100) 未采取操作
事件: 进程启动: f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\ kb39008937.exe, PID:3112 (执行者 f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\kb39008937.exe, PID:3112) 未采取操作
____________________________

可疑操作

事件: 尝试在进程地址空间内启动远程线程 (执行者 f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\kb39008937.exe, PID:3100) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用




诺顿提示需要重启删除，重启后上面日志中显示未采取操作的，这会显示都删除或修复了：

文件名: kb39008937.exe
威胁名称: SONAR.SuspBeh!gen104完整路径: 不可用
___________________________
___________________________

在电脑上的创建时间 
2016-1-8 ( 14:41:57 )

上次使用时间 
2016-1-8 ( 14:41:57 )

启动项目 
是

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。
____________________________

kb39008937.exe 威胁名称: SONAR.SuspBeh!gen104
定位

极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。
____________________________

来源: 外部介质

源文件:
kb39008937.exe
____________________________

文件操作

文件: f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\ kb39008937.exe 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Run->w6bn7ea 威胁已删除
注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ RunOnce->w6bn7ea 威胁已删除
____________________________

网络操作

事件: 网络活动 (执行者 f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\kb39008937.exe, PID:3100) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\kb39008937.exe, PID:3100) 未采取操作
事件: 进程启动 (执行者 f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\kb39008937.exe, PID:3112) 未采取操作
事件: 进程启动: f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\ kb39008937.exe, PID:3100 (执行者 f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\kb39008937.exe, PID:3100) 未采取操作
事件: 进程启动: f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\ kb39008937.exe, PID:3112 (执行者 f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\kb39008937.exe, PID:3112) 未采取操作
____________________________

可疑操作

事件: 尝试在进程地址空间内启动远程线程 (执行者 f:\norton样本\已分类\trojan.zbot（trojan.cryptolocker.n；trojan.ransomlock.ak）\kb39008937.exe, PID:3100) 未采取操作
____________________________

文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用



我大数字的急救箱检测通过：

墨家小子

cwl12315 发表于 2016-1-8 14:47
等晚上回家我也双击试试声纳

一曲英雄的赞歌

墨家小子

胖福 发表于 2016-1-8 14:56
实机双击其中一个，SONAR弹了三次提示：

别的呢？

胖福

墨家小子 发表于 2016-1-8 15:03
别的呢？

稍后，我正用大数字的系统急救箱看看有没有异常，还有刚才是模拟只双击一个的情况，剩下的九个我稍同时双击看看SONAR的表现！

墨家小子

胖福 发表于 2016-1-8 15:05
稍后，我正用大数字的系统急救箱看看有没有异常，还有刚才是模拟只双击一个的情况，剩下的九个我稍同时双 ...

好的 一曲英雄的赞歌

胖福

墨家小子 发表于 2016-1-8 15:14
好的 一曲英雄的赞歌

SONAR弹窗一分钟一个，但现在刚杀了6个！

ELOHIM

XP Windows Defender

胖福

墨家小子 发表于 2016-1-8 15:14
好的 一曲英雄的赞歌

诺顿多次提示重启，按要求重启后SONAR全部杀掉：




我大数字的卫士和急救箱均检测合格：