Detection ratio: 3 / 54 Web Attack: Angler Exploit Kit Website 20 挂马

墨家小子

SHA256:        8c7b616d5a1efa129480d1605d896ea194e3cad0110c26d383060e541dd51599
File name:        TMP87C5.tmp
Detection ratio:        3 / 54
Analysis date:        2016-01-21 06:09:32 UTC ( 1 minute ago )
https://www.virustotal.com/en/fi ... nalysis/1453356572/

McAfee-GW-Edition        BehavesLike.Win32.Ransom.fh        20160121
Qihoo-360        HEUR/QVM10.1.Malware.Gen        20160121
Rising        PE:Trojan.Kryptik!1.A32E [F]        20160120



这个挂马网址已经存活至少一个多月了，IE至今还没有拉黑！ 不过这次是挂马新样本，差点没让木马把系统搞死，SSF不停的弹窗，不停的终止，还是不行，估计卡的时候SSF弹窗手抖放行了……因为弹窗实在太多，只贴一部分截图

墨家小子

泥煤，终于败给了这个木马，影子重启，一切烟消云散~~~一旦放行一次，SSF都控制不了

蓝天二号

火绒

绅博周幸

Greetings,

*** This message is an automatic e-mail response ***

Thank you for your sample/URL submission.
A ticket has been created for your submission and it has been placed into the processing queue.
Our analysts will examine your submission and you will get a reply with the solution or with the verdict for the submitted files/URLs.

Please note that we are getting a large number of submissions per day, so processing of your ticket may take time.
Thank you for your patience.

Best regards,
SecurityResponse Team

G Data Software AG • Konigsallee 178b
D-44799 Bochum, Germany • http://www.gdata.de

PO Box 100 868 • D-44708 Bochum, Germany
HRB Bochum 6886 • VAT Reg. No. DE 127 065 359

Board of directors: Kai Figge, Walter Schumann, Andreas Luening
Chairman of the supervisory board: Dr. Holger Bergmann


Sehr geehrter Kunde,

*** Diese Nachricht ist eine automatisch erzeugte E-Mail-Antwort. ***

vielen Dank für das Einsenden Ihrer Datei(en)/ Ihrer URL-Adresse.
In unserem System wurde ein Ticket für Sie erstellt.
Unsere Analysten werden Ihre Einsendung prüfen und Sie werden eine Antwort dazu erhalten.

Bitte haben Sie Verständnis dafür, dass dieser Prozess Zeit benötigt, da wir täglich eine große Anzahl von Anfragen eingesendet bekommen.
Vielen Dank für Ihre Geduld.

Mit freundlichen Grüßen,
Ihr SecurityResponse Team

G Data Software AG • Königsallee 178b
D-44799 Bochum, Germany • http://www.gdata.de

Postfach 100 868 • D-44708 Bochum, Deutschland
HRB Bochum 6886 • USt-IdNr.: DE 127 065 359

Vorstand: Kai Figge, Walter Schumann, Andreas Lüning
Aufsichtsratsvorsitzender: Dr. Holger Bergmann

windows7爱好者

malwarebytes miss，你1点之后到现在发的样本，没一个杀的

胖福

文件名: tmp87c5.tmp.exe
威胁名称: SONAR.Heur.C!g7完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2016-1-21 ( 14:58:53 )

上次使用时间 
2016-1-21 ( 14:58:53 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


tmp87c5.tmp.exe 威胁名称: SONAR.Heur.C!g7
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
tmp87c5.tmp.exe

____________________________

文件操作

文件: f:\norton样本\临时收集\ tmp87c5.tmp.exe 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\tmp87c5.tmp.exe, PID:2208) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ tmp87c5.tmp.exe, PID:2208 (执行者 f:\norton样本\临时收集\tmp87c5.tmp.exe, PID:2208) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

开开心心卖手机

AVA 25.5278
GD 25.6238

*** 进程 ***

进程: 6444
文件名: tmp64b2.exe
路径: c:\users\--\desktop\tmp64b2.exe

发行商：: 未知发行商

启动进程：: explorer.exe
发行商：: Microsoft Windows


*** 操作 ***

程序正试图建立自启动项，以在系统启动时自动运行。
程序已创建或已操作可执行文件。
该程序可以用户执行任何程序代码。
程序进行了自我复制。
可执行文件被保存在一个可疑位置。


*** 隔离区 ***

下列文件被转入隔离区：
C:\Users\--\Desktop\TMP64B2.exe
c:\users\--\appdata\roaming\nishuhe45.exe

下列注册表项被删除：


YGLRL3nAcoJiYnKC0HJycnJiYuBysi4n+HKCD6dCJyl0ckInCLdyknJycoKALicoJiYnCLli0S94kC0nCOlygmJicoKgLCcoJiYnCNtycnJyYmLALycnJycmBo1ygmJicoLQLicoJiYnCM9ycnJyYmJwp3KCcKhycnJyYmJwuHJycnJiYnDocnJycmJicLqCYVhjtqKikV5jtnKCYVhjtpJw23JycnJiYnDscnJiYnJycPxyomJicqJwjnJyBvcpJycnJyYGaCknCAA
规则版本： 5.0.79
OS: Windows 10.0 Service Pack 0.0 Build: 10586 - Workstation 64bit OS
DLL版本： 55982

"C:\Users\--\Desktop\TMP64B2.exe"
MD5:
C:\Windows\Explorer.EXE
MD5:

xu126yx

TF自带规则就可以拦

amocken

百度miss