59.exe

aboringman

1446547521 发表于 2016-2-16 17:48
卡巴拉黑速度果然一流。。我下载解压的时候都没有报，双击就被拉黑了。。。

并不是双击后导致的云拉黑，而是因为监控延迟导致的反应迟缓啊。。。。。。

nick20010117

aboringman 发表于 2016-2-16 18:11
并不是双击后导致的云拉黑，而是因为监控延迟导致的反应迟缓啊。。。。。。

卡巴有监控延迟？不会和EAM一样吧

icedream89

ESS9 MISS
双击后删除自身，衍生物声纳杀掉[mw_shl_code=css,true]文件名: djvxaquoh.exe
威胁名称: SONAR.Heuristic.132完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间?
2016/2/16 ( 18:19:27 )

上次使用时间?
2016/2/16 ( 18:19:27 )

启动项目?
否

已启动?
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


djvxaquoh.exe 威胁名称: SONAR.Heuristic.132
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
djvxaquoh.exe

____________________________

文件操作

文件: c:\windows\ djvxaquoh.exe 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Tracing\ djvxaquoh_RASAPI32, 注册表配置单元: 64 位 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\windows\djvxaquoh.exe, PID:3060) 未采取操作
(执行者 c:\windows\djvxaquoh.exe, PID:3060) 未采取操作
事件: 进程启动: c:\windows\ djvxaquoh.exe, PID:3016 (执行者 c:\windows\djvxaquoh.exe, PID:3060) 未采取操作
事件: 进程启动 (执行者 c:\windows\djvxaquoh.exe, PID:3016) 未采取操作
事件: 进程启动: c:\windows\ djvxaquoh.exe, PID:3060 (执行者 c:\windows\djvxaquoh.exe, PID:3060) 未采取操作
事件: PE 文件创建: c:\ iqxtw.exe (执行者 c:\windows\djvxaquoh.exe, PID:3016) 未采取操作
事件: 进程启动: c:\windows\ djvxaquoh.exe, PID:3016 (执行者 c:\windows\djvxaquoh.exe, PID:3016) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用
[/mw_shl_code]

aboringman

nick20010117 发表于 2016-2-16 18:21
卡巴有监控延迟？不会和EAM一样吧

一次偶然，在使用卡巴扫描某样本时，起初扫描结果显示安全，但等了一小会儿立即弹窗，结果是云报法。

监控也有类似的情况出现。

ericdj

BD

右键
smartscreen提醒


无视后~~~ATC爆发


最后发现文件中还有一个隐藏文件




双击






======================后续================================
偶很好奇，第二次入沙为嘛windows smartscreen没有提醒
就比较了附件和偶发现留存的附件



完全一样的两个文件

好吧……
机制
双击失败，然后又“隐身”保存了一份

aboringman

AVG：

扫描：miss；

双击：实机双击，IDP击杀之（连同衍生物）。

"";"IDP.ALEXA.51, C:\USERS\KILLER\DESKTOP\59.EXE";"Deleted";"File or Directory";"2016/2/16, 18:30:26"
"";", C:\USERS\KILLER\DESKTOP\59.EXE";"Object was blocked";"Process";"2016/2/16, 18:30:26"
"";", C:\Windows\rhynsamjy.exe";"Object was blocked";"Process";"2016/2/16, 18:30:26"
"";", C:\Windows\System32\cmd.exe";"Object was blocked";"Process";"2016/2/16, 18:30:26"
"";", C:\Windows\rhynsamjy.exe";"Deleted, Moved to Virus Vault";"File or Directory";"2016/2/16, 18:30:26"
"";", C:\USERS\KILLER\DESKTOP\59.EXE";"Object was blocked";"Process";"2016/2/16, 18:30:26"

ericdj

aboringman 发表于 2016-2-16 18:31
AVG：

扫描：miss；

偶建议你去相应的文件夹找找，双击狂魔

aboringman

ericdj 发表于 2016-2-16 18:34
偶建议你去相应的文件夹找找，双击狂魔

建议你看看上面IDP的击杀日志，BD狂人，衍生物确实已伏法

nick20010117

ericdj 发表于 2016-2-16 18:28
BD

右键

衍生物双击

windows7爱好者

衍生物