PE:Trojan.Ransom-Tesla!1.A322

1446547521

文件名: vvayhrrlmrxg.exe
威胁名称: SONAR.Heuristic.132完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2016/2/17 ( 10:04:19 )

上次使用时间 
2016/2/17 ( 10:04:19 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


vvayhrrlmrxg.exe 威胁名称: SONAR.Heuristic.132
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
vvayhrrlmrxg.exe

____________________________

文件操作

文件: c:\jhon\user\current\documents\ vvayhrrlmrxg.exe 威胁已删除
文件: e:\迅雷下载\ 勒索$.exe 威胁已删除
文件: c:\jhon\drive\e\迅雷下载\ 勒索$.exe 威胁已删除
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\jhon\user\current\documents\vvayhrrlmrxg.exe, PID:6940) 未采取操作
(执行者 c:\jhon\user\current\documents\vvayhrrlmrxg.exe, PID:6940) 未采取操作
事件: 进程启动: c:\jhon\user\current\documents\ vvayhrrlmrxg.exe, PID:6184 (执行者 c:\sandbox\jhon\defaultbox\user\current\documents\vvayhrrlmrxg.exe, PID:6940) 未采取操作
事件: 进程启动 (执行者 c:\jhon\user\current\documents\vvayhrrlmrxg.exe, PID:6184) 未采取操作
事件: 进程启动: c:\jhon\user\current\documents\ vvayhrrlmrxg.exe, PID:6940 (执行者 c:\sandbox\jhon\defaultbox\user\current\documents\vvayhrrlmrxg.exe, PID:6940) 未采取操作
事件: PE 文件创建: c:\jhon\user\current\documents\ ptuek.exe (执行者 c:\sandbox\jhon\defaultbox\user\current\documents\vvayhrrlmrxg.exe, PID:6184) 未采取操作
事件: 进程启动: c:\jhon\user\current\documents\ vvayhrrlmrxg.exe, PID:6184 (执行者 c:\sandbox\jhon\defaultbox\user\current\documents\vvayhrrlmrxg.exe, PID:6184) 未采取操作
事件: 进程启动 (执行者 e:\迅雷下载\勒索$.exe, PID:6580) 未采取操作
(执行者 e:\迅雷下载\勒索$.exe, PID:6580) 未采取操作
事件: 进程启动: e:\迅雷下载\ 勒索$.exe, PID:6568 (执行者 e:\迅雷下载\勒索$.exe, PID:6580) 未采取操作
事件: 进程启动 (执行者 e:\迅雷下载\勒索$.exe, PID:6568) 未采取操作
事件: 进程启动: e:\迅雷下载\ 勒索$.exe, PID:6580 (执行者 e:\迅雷下载\勒索$.exe, PID:6580) 未采取操作
事件: PE 文件创建: c:\jhon\user\current\documents\ vvayhrrlmrxg.exe (执行者 e:\迅雷下载\勒索$.exe, PID:6568) 未采取操作
事件: 进程启动: c:\jhon\user\current\documents\ vvayhrrlmrxg.exe, PID:6940 (执行者 e:\迅雷下载\勒索$.exe, PID:6568) 未采取操作
事件: 进程启动: c:\Windows\syswow64\ cmd.exe, PID:7064 (执行者 e:\迅雷下载\勒索$.exe, PID:6568) 未采取操作
事件: 进程启动: e:\迅雷下载\ 勒索$.exe, PID:6568 (执行者 e:\迅雷下载\勒索$.exe, PID:6568) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用


连母体，衍生物全部删

左手

2016-2-17 11:34:09    创建文件 风险级别:未知    阻止并结束进程
进程: c:\documents and settings\administrator\桌面\勒索$.exe
目标: C:\WINDOWS\nxldxxwinkbw.exe
规则: [文件组]拦截_有关文件创建修改组 -> [文件]*; *.exe

ther

ymb668888 发表于 2016-2-17 01:13
补充下，双击后应该是卡巴应用程序控制拉入不信任组，再删除

这种拉黑或入库的的双击如果不改设置一定会直接报的

aboringman

AVG：

扫描：miss；

双击：实机双击，IDP击杀之。（连同衍生物“foxndohmvnjd.exe”）

"";"IDP.Trojan.4E707CF6, C:\USERS\KILLER\DESKTOP\勒索$.EXE";"Deleted";"File or Directory";"2016/2/17, 13:07:07"

"";", C:\USERS\KILLER\DESKTOP\勒索$.EXE";"Object was blocked";"Process";"2016/2/17, 13:07:07"

"";", C:\Windows\foxndohmvnjd.exe";"Object was blocked";"Process";"2016/2/17, 13:07:07"

"";", C:\Windows\System32\cmd.exe";"Object was blocked";"Process";"2016/2/17, 13:07:07"

"";", C:\Windows\foxndohmvnjd.exe";"Deleted, Moved to Virus Vault";"File or Directory";"2016/2/17, 13:07:07"

"";", C:\USERS\KILLER\DESKTOP\勒索$.EXE";"Object was blocked";"Process";"2016/2/17, 13:07:07"

傻傻的杰宝

杀杀杀

275751198

360 HEUR/QVM07.1.Malware.Gen

aboringman

Avira：

扫描：killed（by WP）；

When accessing data from the URL, "https://att.kafan.cn/forum.php?mod=attachment&aid=Mjc1Njk0NnwyMjI0YzZjNnwxNDU1Njk1MTQyfDEwMDA1MDF8MTk2MzI5MQ%3D%3D"
a virus or unwanted program 'TR/TeslaCrypt.A.2' [trojan] was found.
Action taken: Blocked file

dongwenqi

ymb668888 发表于 2016-2-17 01:02
双击，卡巴先拉入高限制组，然后删除

服了你，敢双击，话说你是卡巴斯基2016 614版本吧

猥琐大叔

ericdj

BD
ATC淼过




一个衍生物vvayhrrlmrxg.exe
文件大小一样，猜测是同一个文件