五魁首啊~~

墨家小子

断簪

VSE+NIS
扫描全部过
==========================
行为好像全都一样？

墨家小子

断簪 发表于 2016-2-5 11:01
VSE+NIS
全部过，稍后双击

这个才好玩呢
https://att.kafan.cn/forum.php?mod=attachment&aid=Mjc1MzcyM3w4MTE1MjBhYXwxNDU0NjQxMzU3fDkwNjM2MXwxOTYxNzk4

275751198

360下载杀1
然后人工鉴定入库

nick20010117

蜘蛛扫描不杀

aiqinghe

ESET 五个全部拦截
最近ESET的云杀简直青出于卡巴胜于卡巴啊五个全部报suspicious object
等会试试双击

胖福

完美过诺顿，删除自身，创建启动项，劫持任务管理器

断簪

胖福 发表于 2016-2-5 11:34
完美过诺顿，删除自身，创建启动项，劫持任务管理器

我这里拦截成功并没有添加启动项和劫持任务管理器

胖福

断簪 发表于 2016-2-5 11:40
我这里拦截成功并没有添加启动项和劫持任务管理器

重启后衍生物再次注入svchost.exe，这回SONAR删除了！

文件名: d1b28e7db9.exe
威胁名称: SONAR.Heuristic.142
完整路径: 不可用

____________________________



详细信息
极少用户信任的文件,  极新的文件,  风险 高





原始
下载自
 未知





活动
已执行的操作: 6



____________________________



在电脑上的创建时间 
2016-2-5 ( 11:42:16 )


上次使用时间 
2016-2-5 ( 11:42:16 )


启动项目 
是


已启动 
是


____________________________


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。



____________________________



来源: 外部介质



源文件:
d1b28e7db9.exe




____________________________

文件操作

文件: c:\users\administrator\appdata\roaming\1efceb7a3\ d1b28e7db9.exe 已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-1429125506-3924845992-1376771031-500\Software\Microsoft\Windows\CurrentVersion\ Run->1efceb7a3 已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\administrator\appdata\roaming\1efceb7a3\d1b28e7db9.exe, PID:1780) 未采取操作
事件: 进程启动: c:\Windows\System32\ svchost.exe, PID:644 (执行者 c:\users\administrator\appdata\roaming\1efceb7a3\d1b28e7db9.exe, PID:1780) 未采取操作
事件: 进程启动: c:\users\administrator\appdata\roaming\1efceb7a3\ d1b28e7db9.exe, PID:1780 (执行者 c:\users\administrator\appdata\roaming\1efceb7a3\d1b28e7db9.exe, PID:1780) 未采取操作
____________________________

可疑操作

(执行者 c:\users\administrator\appdata\roaming\1efceb7a3\d1b28e7db9.exe, PID:1780) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

断簪

胖福 发表于 2016-2-5 11:45
重启后衍生物再次注入svchost.exe，这回SONAR删除了！

文件名: d1b28e7db9.exe

欸，我的SONAR报法和你的SONAR报法不一样。。。。