带数字签名的恶意文件

ikimi

http://bbs.kafan.cn/thread-1961335-1-1.html

样本加了数字签名，卡巴斯基不提示了

1446547521

双击拦截

加了数字签名O引擎竟然不报了

230f4

Bitdefender原来没入库，现在当然也不会提示。

275751198

360杀毒实时防护日志

时间                    防护说明                                                                  处理结果                                                        文件
------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
2016-02-01 21:16:26     感染型病毒(Win32/Trojan.f20)MD5:3f3d34c777c193535e1b8fdf6dd5898b           已删除此文件，如果您发现误删，可从隔离区恢复此文件。        d:\邮件\新建文件夹\新建文件夹 (2)\新建文件夹\新建文件夹 (3)\新建文件夹 (5)\搬运中转站\366383778_b25135ad96de125d9d862ff8fac973c7.exe

windows7爱好者

蜘蛛扫描kill
人为加了两个数签，挺有意思

猥琐大叔

温馨小屋

SONAR kill
文件名: 366383778_b25135ad96de125d9d862ff8fac973c7.exe
威胁名称: SONAR.MalTraffic!gen2完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2016/2/1 ( 21:48:04 )

上次使用时间 
2016/2/1 ( 21:48:04 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


366383778_b25135ad96de125d9d862ff8fac973c7.exe 威胁名称: SONAR.MalTraffic!gen2
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
366383778_b25135ad96de125d9d862ff8fac973c7.exe

____________________________

文件操作

文件: d:\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\ 366383778_b25135ad96de125d9d862ff8fac973c7.exe 威胁已删除
目录: x:\Sandbox\zry98\defaultbox\user\current\AppData\Roaming\ bbf9c 需要重新启动
____________________________

注册表操作

注册表更改: HKEY_USERS\Sandbox_zry98_DefaultBox\machine\Software\Policies\Microsoft\ Cryptography, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_zry98_DefaultBox\machine\Software\Microsoft\ Cryptography, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_zry98_DefaultBox\user\current\SOFTWARE\Microsoft\ Windows NT, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_zry98_DefaultBox\machine\software\classes\ clsid, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_zry98_DefaultBox\user\current\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run, 注册表配置单元: 64 位 需要重新启动
注册表更改: HKEY_USERS\SANDBOX_ZRY98_DEFAULTBOX\user\current\software\Microsoft\Windows\CurrentVersion\ Run->bbf9c, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_zry98_DefaultBox\Machine\SOFTWARE\Policies\Microsoft\Windows\ Appx, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_zry98_DefaultBox\Machine\SOFTWARE\Microsoft\Windows\CurrentVersion\ AppModelUnlock, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_zry98_DefaultBox\machine\Software\Microsoft\ Windows NT, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_zry98_DefaultBox\user\current\SOFTWARE\Microsoft\Windows\CurrentVersion\ Internet Settings, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_zry98_DefaultBox\user\current\SOFTWARE\Microsoft\Windows\CurrentVersion\ OnDemandInterfaceCache, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\Sandbox_zry98_DefaultBox\MACHINE\SOFTWARE\ WOW6432Node, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\SANDBOX_ZRY98_DEFAULTBOX\user\current_classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache->X:\Windows\SysWOW64\ vssadmin.exe.FriendlyAppName, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\SANDBOX_ZRY98_DEFAULTBOX\user\current_classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache->X:\Windows\SysWOW64\ vssadmin.exe.ApplicationCompany, 注册表配置单元: 64 位 威胁已删除
____________________________

网络操作

事件: 网络通信上检测到 Symantec IDS 特征 (执行者 d:\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\366383778_b25135ad96de125d9d862ff8fac973c7.exe, PID:5592) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 d:\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\366383778_b25135ad96de125d9d862ff8fac973c7.exe, PID:5592) 未采取操作
(执行者 d:\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\366383778_b25135ad96de125d9d862ff8fac973c7.exe, PID:5592) 未采取操作
事件: 进程启动: x:\Windows\SysWOW64\ explorer.exe, PID:6328 (执行者 d:\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\366383778_b25135ad96de125d9d862ff8fac973c7.exe, PID:5592) 未采取操作
事件: 进程启动: d:\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\ 366383778_b25135ad96de125d9d862ff8fac973c7.exe, PID:5592 (执行者 d:\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\366383778_b25135ad96de125d9d862ff8fac973c7.exe, PID:5592) 未采取操作
事件: PE 文件创建: x:\Sandbox\zry98\defaultbox\user\current\AppData\Roaming\bbf9c\ bf9cf8f.exe (执行者 d:\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\366383778_b25135ad96de125d9d862ff8fac973c7.exe, PID:5592) 未采取操作
事件: PE 文件创建: x:\Sandbox\zry98\defaultbox\drive\D\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\ 366383778_b25135ad96de125d9d862ff8fac973c7.exe (执行者 d:\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\366383778_b25135ad96de125d9d862ff8fac973c7.exe, PID:5592) 未采取操作
事件: 进程启动: x:\Windows\SysWOW64\ svchost.exe, PID:7020 (执行者 d:\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\366383778_b25135ad96de125d9d862ff8fac973c7.exe, PID:5592) 未采取操作
事件: 进程启动: x:\Windows\SysWOW64\ vssadmin.exe, PID:7040 (执行者 d:\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\366383778_b25135ad96de125d9d862ff8fac973c7.exe, PID:5592) 未采取操作
____________________________

可疑操作

(执行者 d:\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\366383778_b25135ad96de125d9d862ff8fac973c7.exe, PID:5592) 未采取操作
事件: 尝试在进程地址空间内启动远程线程 (执行者 d:\360极速浏览器下载\viruss\366383778_b25135ad96de125d9d862ff8fac973c7\366383778_b25135ad96de125d9d862ff8fac973c7.exe, PID:5592) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

电脑发烧友

双击之后卡巴一直阻止恶意链接，然后没反应。

01.02.2016 22.08.22;已阻止危险网址;http://greeknewstoday.com/97fDcu ... hp?f=n63jbhj1297vi;网址;网址列于恶意网址数据库中;Host Process for Windows Services;02/01/2016 22:08:22

pal家族

加的最近那几个被盗用的数字签名嘛？
有趣
@电脑发烧友 我猜测是拦截病毒服务器，样本获得不到加密秘钥所以没反应了

尘梦幽然

pal家族 发表于 2016-2-1 23:10
加的最近那几个被盗用的数字签名嘛？
有趣
@电脑发烧友 我猜测是拦截病毒服务器，样本获得不到加密秘钥所 ...

卡巴斯基好像就是object入库，这种情况只要md5不一样了就不能检测了，也正常。等一个周期以后就没事了