Detection ratio: 4 / 55 Angler Exploit Kit Redirect 加密勒索挂马

胖福

文件名: 6d85.tmp.exe
威胁名称: SONAR.SelfHijack!gen1
完整路径: 不可用

____________________________



详细信息
极少用户信任的文件,  极新的文件,  风险 高





原始
下载自
 未知





活动
已执行的操作: 6



____________________________



在电脑上的创建时间 
2016-2-21 ( 16:35:51 )


上次使用时间 
2016-2-21 ( 16:35:51 )


启动项目 
否


已启动 
是


____________________________


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。



____________________________



来源: 外部介质



源文件:
6d85.tmp.exe




____________________________

文件操作

文件: f:\norton样本\临时收集\ 6d85.tmp.exe 已删除
事件: 正在运行进程: f:\norton样本\临时收集\ 6d85.tmp.exe 已终止
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\6d85.tmp.exe, PID:1604) 未采取操作
(执行者 f:\norton样本\临时收集\6d85.tmp.exe, PID:1604) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 6d85.tmp.exe, PID:2536 (执行者 f:\norton样本\临时收集\6d85.tmp.exe, PID:1604) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 6d85.tmp.exe, PID:1604 (执行者 f:\norton样本\临时收集\6d85.tmp.exe, PID:1604) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

1446547521

双击没任何反应。。SSP和ESET的HIPS都没反应。。

难道自动免疫？

温馨小屋

WD miss

aboringman

墨家小子 发表于 2016-2-21 16:29
你们不是喜欢双击吗？那么这种呢？怎么双击啊？
http://bbs.kafan.cn/thread-1705893-1-1.html

想玩是吧，奉陪到底，正愁没东西来大开杀戒！

AVG：

扫描：pass；

双击：关闭监控，实机双击，IDP击杀之。（需重启）

"";"IDP.Trojan.DB1F84E0, C:\Users\killer\Desktop\6707[1].mp3.exe";"Deleted, Moved to Virus Vault";"File or Directory";"2016/2/21, 16:44:42"

"";", C:\Windows\System32\avguix-service.exe";"Object was blocked";"Process";"2016/2/21, 16:44:42"

"";", C:\Windows\System32\netsh.exe";"Object was blocked";"Process";"2016/2/21, 16:44:42"

"";", C:\Windows\System32\avguix-service.exe";"Healed, Moved to Virus Vault";"File or Directory";"2016/2/21, 16:44:42"

"";", HKEY_USERS\S-1-5-21-540828005-2055914412-3868506426-1000\SOFTWARE\PB";"Deleted, Moved to Virus Vault";"Registry key";"2016/2/21, 16:44:42"

"";", HKEY_LOCAL_MACHINE\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\FIREWALLPOLICY\FIREWALLRULES\\{492777E1-3B38-4DE6-9664-A90FCD56526A}";"Deleted, Moved to Virus Vault";"Registry value";"2016/2/21, 16:44:42"

"";", HKEY_LOCAL_MACHINE\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\FIREWALLPOLICY\FIREWALLRULES\\{A8A9B430-5297-40C8-B9E2-AD46C6FDE30D}";"Deleted, Moved to Virus Vault";"Registry value";"2016/2/21, 16:44:42"

"";", C:\Users\killer\Desktop\6707[1].mp3.exe";"Object was blocked";"Process";"2016/2/21, 16:44:42"

"";", HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\ACTIVEX INSTALLER (AXINSTSV) PATCHER";"Deleted, Moved to Virus Vault";"Registry value";"2016/2/21, 16:44:42"

aboringman

墨家小子 发表于 2016-2-21 16:11
你双击一下这个给我看看
http://bbs.kafan.cn/thread-1712473-1-1.html

AVG：

扫描：pass；

双击：关闭监控，实机双击，样本报错退出，未留下可疑痕迹。

1446547521

ericdj 发表于 2016-2-21 16:19
Gdata
右键miss

win10？

aboringman

墨家小子 发表于 2016-2-21 16:14
还有这几个
https://www.google.com/search?q=VT+Detection+ratio+mp3+%E5%8D%A1%E9%A5%AD+%E6%A0 ...

AVG：

扫描：pass；

双击：关闭监控，实机双击，击杀3655和5684，剩下的三只全部怂了，不敢来给我惹麻烦。（两只下载者全废，另一只直接报错退出，真是大礼啊）

3655：

"";"IDP.SMP.12, C:\Users\killer\Desktop\3655[1].mp3.exe";"Deleted, Moved to Virus Vault";"File or Directory";"2016/2/21, 16:56:16"

"";", C:\Users\killer\Desktop\3655[1].mp3.exe";"Object was blocked";"Process";"2016/2/21, 16:56:16"

"";", C:\Users\killer\Desktop\3655[1].mp3.exe";"Object was blocked";"Process";"2016/2/21, 16:56:16"

"";", HKEY_LOCAL_MACHINE\SOFTWARE\UIJOFONYCJ";"Deleted, Moved to Virus Vault";"Registry key";"2016/2/21, 16:56:16"

"";", HKEY_USERS\S-1-5-21-540828005-2055914412-3868506426-1000\SOFTWARE\UIJOFONYCJ";"Deleted, Moved to Virus Vault";"Registry key";"2016/2/21, 16:56:16"

5684：

"";"IDP.SMP.12, C:\Users\killer\Desktop\5684[1].mp3.exe";"Deleted, Moved to Virus Vault";"File or Directory";"2016/2/21, 16:59:07"

"";", C:\Users\killer\Desktop\5684[1].mp3.exe";"Object was blocked";"Process";"2016/2/21, 16:59:07"

"";", C:\Users\killer\Desktop\5684[1].mp3.exe";"Object was blocked";"Process";"2016/2/21, 16:59:07"

"";", HKEY_LOCAL_MACHINE\SOFTWARE\UIJOFONYCJ";"Deleted, Moved to Virus Vault";"Registry key";"2016/2/21, 16:59:07"

"";", HKEY_USERS\S-1-5-21-540828005-2055914412-3868506426-1000\SOFTWARE\UIJOFONYCJ";"Deleted, Moved to Virus Vault";"Registry key";"2016/2/21, 16:59:07"

墨家小子

aboringman 发表于 2016-2-21 16:49
想玩是吧，奉陪到底，正愁没东西来大开杀戒！

AVG：

你这杀的都什么玩意

2016/2/21 17:16:51,C:\Windows\explorer.exe,53,Allowed ;执行应用程序 ("C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe" )

2016/2/21 17:16:52,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,31,Blocked ;访问摄像头

2016/2/21 17:16:54,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,41,Allowed ;修改受保护的文件 (C:\Windows\SysWOW64\igfxhk_patcher.exe)

2016/2/21 17:16:56,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,53,Allowed ;执行应用程序 ("C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe" )

2016/2/21 17:16:57,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,31,Blocked ;访问摄像头

2016/2/21 17:17:00,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,41,Allowed ;修改受保护的文件 (C:\Windows\SysWOW64\syswebcamsplitterserver.exe)

2016/2/21 17:17:01,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,53,Allowed ;执行应用程序 ("C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe" )

2016/2/21 17:17:03,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,31,Blocked ;访问摄像头

2016/2/21 17:17:05,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,41,Allowed ;修改受保护的文件 (C:\Windows\SysWOW64\ntexplorer.exe)

2016/2/21 17:17:07,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,53,Allowed ;执行应用程序 ("C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe" )

2016/2/21 17:17:08,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,31,Blocked ;访问摄像头

2016/2/21 17:17:20,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,41,Allowed ;修改受保护的文件 (C:\Windows\SysWOW64\igfxhkpatcher.exe)

2016/2/21 17:17:22,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,53,Allowed ;执行应用程序 ("C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe" )

2016/2/21 17:17:23,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,31,Blocked ;访问摄像头

2016/2/21 17:17:25,C:\Users\mp3\Desktop\6707[1]\6707[1].mp3.exe,41,Terminated ;修改受保护的文件 (C:\Windows\SysWOW64\nis_ctrl.exe)

墨家小子

aboringman 发表于 2016-2-21 17:18
AVG：

扫描：pass；

又见广告格式文本，嘴真硬，mp3后缀运行起来会是怎样

aboringman

墨家小子 发表于 2016-2-21 17:19
你这杀的都什么玩意

2016/2/21 17:16:51,C:\Windows\explorer.exe,53,Allowed ;执行应用程序 ("C:%u ...

估计还没有多大动静，就先被斩了吧，然而并没有什么用处。