File name: 66CF.tmp.exe Detection ratio: 2 / 55 加密勒索挂马

墨家小子

SHA256:        9f903128af4866565e67e50ee0188f7c748c59fd5e74c3b76d0670d1c53c4271
File name:        66CF.tmp.exe
Detection ratio:        2 / 55
Analysis date:        2016-02-19 03:28:25 UTC ( 0 minutes ago )
https://www.virustotal.com/en/file/9f903128af4866565e67e50ee0188f7c748c59fd5e74c3b76d0670d1c53c4271/analysis/1455852505/

1446547521

19.02.2016 11.34.46;检测到的对象 ( 文件 ) ;E:\迅雷下载\66CF.tmp.exe;Windows Explorer;E:\迅雷下载\66CF.tmp.exe;02/19/2016 11:34:46;UDS:DangerousObject.Multi.Generic
19.02.2016 11.34.51;检测到的对象 ( 文件 ) 已删除。;E:\迅雷下载\66CF.tmp.exe;Windows Explorer;E:\迅雷下载\66CF.tmp.exe;02/19/2016 11:34:51;UDS:DangerousObject.Multi.Generic
19.02.2016 11.34.51;检测到的对象 ( 文件 ) 已移动至隔离区。;E:\迅雷下载\66CF.tmp.exe;Windows Explorer;E:\迅雷下载\66CF.tmp.exe;02/19/2016 11:34:51;UDS:DangerousObject.Multi.Generic

为你心碎

KIS

送信Y

数字不报

lzy2010000

微点的主防还是不错的，前几个样本双击后都被拦截，这个比较新，杀了衍生物，但文件依旧被加密

windows7爱好者

我也想用大A了怎么办，目前正在裸奔，享受速度

rrorr

趋势双击 主程序消失，rar被加密，有外连数据。右下角不断弹窗，杀Recovery+lgtgk.txt。之前还杀了        C:\windows\cwejbpmcrohs.exe

windows7爱好者

rrorr 发表于 2016-2-19 12:09
趋势双击 主程序消失，rar被加密，有外连数据。右下角不断弹窗，杀Recovery+lgtgk.txt。之前还杀了        C:\wind ...

被加密就等于防御失败了

275751198

目测入库还需时间

icedream89

ESS9 miss，
NS双击
[mw_shl_code=css,true]文件名: lywrgbgxgtqu.exe
威胁名称: SONAR.Heuristic.142完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间?
2016/2/19 ( 12:46:31 )

上次使用时间?
2016/2/19 ( 12:46:31 )

启动项目?
是

已启动?
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


lywrgbgxgtqu.exe 威胁名称: SONAR.Heuristic.142
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
lywrgbgxgtqu.exe

____________________________

文件操作

文件: c:\windows\ lywrgbgxgtqu.exe 威胁已删除
文件: c:\ recover_file_ghbmegjkv.txt 威胁已删除
文件: c:\$recycle.bin\s-1-5-18\ recovery+gotve.png 威胁已删除
文件: c:\$recycle.bin\s-1-5-18\ recovery+gotve.txt 威胁已删除
文件: c:\$recycle.bin\s-1-5-18\ recovery+gotve.html 威胁已删除
文件: c:\$recycle.bin\s-1-5-21-3847003350-3214859161-2645151503-1000\ recovery+gotve.png 威胁已删除
文件: c:\$recycle.bin\s-1-5-21-3847003350-3214859161-2645151503-1000\ recovery+gotve.txt 威胁已删除
文件: c:\$recycle.bin\s-1-5-21-3847003350-3214859161-2645151503-1000\ recovery+gotve.html 威胁已删除
文件: c:\$recycle.bin\s-1-5-21-3847003350-3214859161-2645151503-500\ recovery+gotve.png 威胁已删除
文件: c:\$recycle.bin\s-1-5-21-3847003350-3214859161-2645151503-500\ recovery+gotve.txt 威胁已删除
文件: c:\$recycle.bin\s-1-5-21-3847003350-3214859161-2645151503-500\ recovery+gotve.html 威胁已删除
文件: c:\$recycle.bin\s-1-5-21-4230695508-2665832764-745859615-500\ recovery+gotve.png 威胁已删除
文件: c:\$recycle.bin\s-1-5-21-4230695508-2665832764-745859615-500\ recovery+gotve.txt 威胁已删除
文件: c:\$recycle.bin\s-1-5-21-4230695508-2665832764-745859615-500\ recovery+gotve.html 威胁已删除
文件: c:\$recycle.bin\ recovery+gotve.png 威胁已删除
文件: c:\$recycle.bin\ recovery+gotve.txt 威胁已删除
文件: c:\$recycle.bin\ recovery+gotve.html 威胁已删除
文件: c:\boot\cs-cz\ recovery+gotve.png 威胁已删除
文件: c:\boot\cs-cz\ recovery+gotve.txt 威胁已删除
文件: c:\boot\cs-cz\ recovery+gotve.html 威胁已删除
____________________________

注册表操作

注册表更改: HKEY_USERS\S-1-5-21-4230695508-2665832764-745859615-500\Software\Microsoft\Windows\CurrentVersion\ Run->qityeepjlqrb 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\ System->EnableLinkedConnections, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\S-1-5-21-4230695508-2665832764-745859615-500\Software\xxxsys\, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\S-1-5-21-4230695508-2665832764-745859615-500\Software\ 7A3BF7F397E55F, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Tracing\ lywrgbgxgtqu_RASAPI32, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Tracing\ lywrgbgxgtqu_RASMANCS, 注册表配置单元: 64 位 威胁已删除
注册表更改: HKEY_USERS\S-1-5-21-4230695508-2665832764-745859615-500\Software\Microsoft\Windows\CurrentVersion\ Internet Settings->ProxyEnable:0, 注册表配置单元: 64 位 已修复
注册表更改: HKEY_USERS\S-1-5-21-4230695508-2665832764-745859615-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ Connections->SavedLegacySettings:..., 注册表配置单元: 64 位 已修复
____________________________

网络操作

事件: 网络活动 (执行者 c:\windows\lywrgbgxgtqu.exe, PID:1212) 未采取操作
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\windows\lywrgbgxgtqu.exe, PID:552) 未采取操作
(执行者 c:\windows\lywrgbgxgtqu.exe, PID:552) 未采取操作
事件: 进程启动: c:\windows\ lywrgbgxgtqu.exe, PID:1212 (执行者 c:\windows\lywrgbgxgtqu.exe, PID:552) 未采取操作
事件: 进程启动 (执行者 c:\windows\lywrgbgxgtqu.exe, PID:1212) 未采取操作
事件: 进程启动: c:\windows\ lywrgbgxgtqu.exe, PID:552 (执行者 c:\windows\lywrgbgxgtqu.exe, PID:552) 未采取操作
事件: 进程启动: c:\Windows\System32\wbem\ WMIC.exe, PID:2808 (执行者 c:\windows\lywrgbgxgtqu.exe, PID:1212) 未采取操作
事件: 进程启动: c:\windows\ lywrgbgxgtqu.exe, PID:1212 (执行者 c:\windows\lywrgbgxgtqu.exe, PID:1212) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用
[/mw_shl_code]