File name: 903E.tmp.exe Detection ratio: 2 / 52 加密勒索挂马

墨家小子

SHA256:        87a083af8905378ae9ef1cf70d70f4a623d52bc0f2ec8a0d955522db4f642ee8
File name:        903E.tmp.exe
Detection ratio:        2 / 52
Analysis date:        2016-01-27 11:18:00 UTC ( 1 minute ago )
https://www.virustotal.com/en/fi ... nalysis/1453893480/

Qihoo-360        HEUR/QVM10.1.Malware.Gen        20160127
Rising        PE:Malware.RDM.23!5.1D [F]        20160127

windows7爱好者

正在加密中
前面几次自动退出，双击第4次，这次终于有反映了


启动项被数字拦住了，文档里是好的，但是之后的测试文件被加密，我将图里的5个图片和文档移到C盘根目录里后，也被加密，结果看9楼，11楼，14楼@vm001

pal家族

卡巴miss 没有双击

1446547521

文件名: 903e.tmp.exe
威胁名称: SONAR.MalTraffic!gen2完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2016/1/27 ( 19:41:04 )

上次使用时间 
2016/1/27 ( 19:41:04 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


903e.tmp.exe 威胁名称: SONAR.MalTraffic!gen2
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
winrar.exe

创建的文件:
903e.tmp.exe

____________________________

文件操作

文件: e:\迅雷下载\ 903e.tmp.exe 威胁已删除
文件: c:\Users\14465\defaultbox\drive\e\迅雷下载\ 903e.tmp.exe 威胁已删除
文件: c:\Users\14465\defaultbox\user\current\appdata\roaming\e96406a\ 06ae9.exe 威胁已删除
目录: c:\Users\14465\defaultbox\user\current\appdata\roaming\ e96406a 威胁已删除
____________________________

网络操作

事件: 网络活动 (执行者 e:\迅雷下载\903e.tmp.exe, PID:3428) 未采取操作
事件: 网络通信上检测到 Symantec IDS 特征 (执行者 e:\迅雷下载\903e.tmp.exe, PID:3428) 未采取操作
事件: 网络活动 (执行者 e:\迅雷下载\903e.tmp.exe, PID:2060) 未采取操作
事件: 网络通信上检测到 Symantec IDS 特征 (执行者 e:\迅雷下载\903e.tmp.exe, PID:2060) 未采取操作
____________________________

系统设置操作

事件: 进程启动: e:\迅雷下载\ 903e.tmp.exe, PID:7444 (执行者 e:\迅雷下载\903e.tmp.exe, PID:7444) 未采取操作
事件: 进程启动: e:\迅雷下载\ 903e.tmp.exe, PID:7720 (执行者 e:\迅雷下载\903e.tmp.exe, PID:7720) 未采取操作
事件: 进程启动 (执行者 e:\迅雷下载\903e.tmp.exe, PID:3428) 未采取操作
事件: 进程启动: c:\Windows\syswow64\ svchost.exe, PID:6556 (执行者 e:\迅雷下载\903e.tmp.exe, PID:3428) 未采取操作
事件: 进程启动: e:\迅雷下载\ 903e.tmp.exe, PID:3428 (执行者 e:\迅雷下载\903e.tmp.exe, PID:3428) 未采取操作
事件: PE 文件创建: c:\Users\14465\defaultbox\user\current\appdata\roaming\e96406a\ 06ae9.exe (执行者 e:\迅雷下载\903e.tmp.exe, PID:3428) 未采取操作
事件: PE 文件创建: c:\Users\14465\defaultbox\drive\e\迅雷下载\ 903e.tmp.exe (执行者 e:\迅雷下载\903e.tmp.exe, PID:3428) 未采取操作
事件: 进程启动 (执行者 e:\迅雷下载\903e.tmp.exe, PID:2060) 未采取操作
事件: 进程启动: c:\Windows\syswow64\ svchost.exe, PID:8912 (执行者 e:\迅雷下载\903e.tmp.exe, PID:2060) 未采取操作
事件: 进程启动: e:\迅雷下载\ 903e.tmp.exe, PID:2060 (执行者 e:\迅雷下载\903e.tmp.exe, PID:2060) 未采取操作
事件: PE 文件创建: c:\Users\14465\defaultbox\user\current\appdata\roaming\e96406a\ 06ae9.exe (执行者 e:\迅雷下载\903e.tmp.exe, PID:2060) 未采取操作
事件: PE 文件创建: c:\Users\14465\defaultbox\drive\e\迅雷下载\ 903e.tmp.exe (执行者 e:\迅雷下载\903e.tmp.exe, PID:2060) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

同时触发IPS

墨家小子

1446547521 发表于 2016-1-27 19:52
文件名: 903e.tmp.exe
威胁名称: SONAR.MalTraffic!gen2完整路径: 不可用

你终于成为诺顿合格玩家了啊

1446547521

墨家小子 发表于 2016-1-27 20:00
你终于成为诺顿合格玩家了啊

我一直是打酱油的

墨家小子

windows7爱好者 发表于 2016-1-27 19:35
正在加密中
前面几次自动退出，双击第4次，这次终于有反映了

你在C盘根目录下放几个文档不就知道加没加密了？
你看看这里加密没有不就知道了？

windows7爱好者

墨家小子 发表于 2016-1-27 20:01
你在C盘根目录下放几个文档不就知道加没加密了？

我是放在文档里的，稍等，我再去试试

windows7爱好者

墨家小子 发表于 2016-1-27 20:01
你在C盘根目录下放几个文档不就知道加没加密了？
你看看这里加密没有不就知道了？

看来数字只拦截了启动项
@vm001

墨家小子

windows7爱好者 发表于 2016-1-27 20:11
看来数字只拦截了启动项
@vm001

打开那个什么什么酷我看看能不能用了？