~~样本*5~~

icedream89

时间;扫描程序;对象类型;对象;威胁;操作;用户;信息;哈希
2016/2/18 星期四 12:44:42;文件系统实时防护;文件;D:\个人文件\桌面\新建压缩(zipped)文件夹 (1)\5.exe;Win32/TrojanDownloader.Nymaim.BA 特洛伊木马;通过删除清除;USER-0K84B09LCU\Administrator;在应用程序新建的文件上发生事件: C:\Program Files\WinRAR\WinRAR.exe (BBC69E6E9459BCFCBED06768CF1EFA99F1FDB478).;2E838E19E71F405669747590D9FD4CA5235132A0
2016/2/18 星期四 12:44:42;文件系统实时防护;文件;D:\个人文件\桌面\新建压缩(zipped)文件夹 (1)\3.exe;Win32/Filecoder.Locky.A 特洛伊木马;通过删除清除;USER-0K84B09LCU\Administrator;在应用程序新建的文件上发生事件: C:\Program Files\WinRAR\WinRAR.exe (BBC69E6E9459BCFCBED06768CF1EFA99F1FDB478).;8E5C7E0B3A6BCA03148976DD0231132416E8A422
2016/2/18 星期四 12:44:42;文件系统实时防护;文件;D:\个人文件\桌面\新建压缩(zipped)文件夹 (1)\1.exe;Win32/Kryptik.EOHV 特洛伊木马 的变种;通过删除清除;USER-0K84B09LCU\Administrator;在应用程序新建的文件上发生事件: C:\Program Files\WinRAR\WinRAR.exe (BBC69E6E9459BCFCBED06768CF1EFA99F1FDB478).;5A6FD3FF71E84D99BD893FF219772BCCAB4AA054
2016/2/18 星期四 12:43:38;文件系统实时防护;文件;D:\个人文件\桌面\新建压缩(zipped)文件夹\4.exe;Win32/Filecoder.CTBLocker.A 特洛伊木马;通过删除清除;USER-0K84B09LCU\Administrator;在应用程序新建的文件上发生事件: C:\Program Files\WinRAR\WinRAR.exe (BBC69E6E9459BCFCBED06768CF1EFA99F1FDB478).;8410A500BF19B89861B5718FE4A4D480A9543F91
2016/2/18 星期四 0:15:14;文件系统实时防护;文件;D:\个人文件\桌面\新建压缩(zipped)文件夹 (5)\exe.exe;Win32/Filecoder.Locky.A 特洛伊木马;通过删除清除;USER-0K84B09LCU\Administrator;在应用程序新建的文件上发生事件: C:\Program Files\WinRAR\WinRAR.exe (BBC69E6E9459BCFCBED06768CF1EFA99F1FDB478).;8E5C7E0B3A6BCA03148976DD0231132416E8A422

aboringman

pal家族 发表于 2016-2-18 09:41
蛐蛐杀三个

原来5是Zbot，怪不得各种注入呢（就觉得似曾相识，那种敢于注入安全软件进程的精神）

清道夫900

cxy密斯 发表于 2016-2-18 08:58

BD企业版好玩吗？

xiiz

趋势搞定3个

nick20010117

共和时代 发表于 2016-2-18 09:11
实机双击 4.exe       NS miss
电脑被锁，尝试安全模式没用，索性还原了
不说了，换BD去

我也被锁屏了……

nick20010117

aboringman 发表于 2016-2-18 01:53
AVG：

扫描：miss all；

IDP现在太强了啊，NS都败了，我刚刚被锁屏

1446547521

nick20010117 发表于 2016-2-18 17:44
IDP现在太强了啊，NS都败了，我刚刚被锁屏

IDP要反超SONAR的节奏啊

pal家族

aboringman 发表于 2016-2-18 13:07
原来5是Zbot，怪不得各种注入呢（就觉得似曾相识，那种敢于注入安全软件进程的精神）

哈~~没想到趋势杀了3个。不过既然用了蛐蛐，那就得忘掉检测率这种概念~~

nick20010117

aboringman 发表于 2016-2-18 13:07
原来5是Zbot，怪不得各种注入呢（就觉得似曾相识，那种敢于注入安全软件进程的精神）

BG双击5.exe
可疑文件： 5.exe

风险： 高
路径： C:\Users\Administrator\Desktop\新建压缩(zipped)文件夹\5.exe

详细信息
•    5.exe 程序试图劫持（伪装执行）另一进程。

修改的文件
•    C:\$RECYCLE.BIN\S-1-5-21-4035673165-3688820562-1120568024-500\$RHXCVVZ.lnk (created)
•    C:\PROGRAMDATA\YVZ\BIDD.BUK (created)
•    C:\USERS\ADMINISTRATOR\APPDATA\LOCALLOW\SOGOUPY\VERIFY.INI (created)
•    C:\USERS\ADMINISTRATOR\APPDATA\LOCALLOW\SOGOUPY\COMPONENTS\COMPONENTCONFIG.INI (created)
•    C:\USERS\ADMINISTRATOR\APPDATA\LOCAL\TEMP\FUVCI.QRO (created)
•    C:\Users\Administrator\Desktop\新建压缩(zipped)文件夹\5.exe

修改的注册表多的数不清了
可疑文件： 3.exe

风险： 高
路径： C:\Users\Administrator\Desktop\新建压缩(zipped)文件夹\3.exe

详细信息
•    3.exe 程序试图启动服务。

修改的文件
•    C:\USERS\ADMINISTRATOR\APPDATA\LOCAL\TEMP\SVCHOST.EXE (created)
•    C:\Users\ADMINI~1\AppData\Local\Temp\sysB74D.tmp (created)
•    C:\Users\Administrator\Desktop\新建压缩(zipped)文件夹\3.exe

修改的注册表
•    \REGISTRY\MACHINE\SYSTEM\CONTROLSET001\CONTROL\SESSION MANAGER:PendingFileRenameOperations (modified: old_value=[\??\C:\Program Files\Tencent\QQPCMgr\11.4.17335.216\QMTrayPlugin\QMTPIEStartPage\QMTPIEStartPage.dll.bak_7507, ], new_value =[\??\C:\Program Files\Tencent\QQPCMgr\11.4.17335.216\QMTrayPlugin\QMTPIEStartPage\QMTPIEStartPage.dll.bak_7507, , \??\C:\Users\ADMINI~1\AppData\Local\Temp\sysB74D.tmp, ])
可疑文件： 4.exe

风险： 高
路径： C:\Users\Administrator\Desktop\新建压缩(zipped)文件夹\4.exe

详细信息
•    4.exe 程序试图修改受保护的系统设置。

修改的文件
•    C:\USERS\ADMINISTRATOR\APPDATA\LOCALLOW\SOGOUPY\VERIFY.INI (created)
•    C:\USERS\ADMINISTRATOR\APPDATA\LOCALLOW\SOGOUPY\COMPONENTS\COMPONENTCONFIG.INI (created)
•    C:\Users\Administrator\AppData\LocalLow\SogouPY\Components\Picface\PicfaceData\sgim_picidx.bin (created)
•    C:\Users\Administrator\Desktop\新建压缩(zipped)文件夹\4.exe
•    C:\WINDOWS\FILE1.EXE (created)
•    C:\WINDOWS\FILE2.BAT (created)

修改的注册表
•    \REGISTRY\USER\S-1-5-21-4035673165-3688820562-1120568024-500\SOFTWARE\SOGOUINPUT.USER:SogouComponentFirstLoad (modified: old_value=0x56c597c4 (1455790020), new_value =0x56c597dc (1455790044))
•    \REGISTRY\USER\S-1-5-21-4035673165-3688820562-1120568024-500\SOFTWARE\SOGOUINPUT.USER:Used (modified: old_value=0x56c597c4 (1455790020), new_value =0x56c597dc (1455790044))

bbszy

cxy密斯 发表于 2016-2-18 10:07
常用的防护是有的，个别的特殊功能没有

在哪里有下载哈