Detection ratio: 4 / 55 Angler Exploit Kit Redirect 加密勒索挂马

aboringman

墨家小子 发表于 2016-2-21 17:21
又见广告格式文本，嘴真硬，mp3后缀运行起来会是怎样

什么鬼都没有，我就期盼着它来点什么，结果个个都这怂样，真是可笑至极。

ericdj

1446547521 发表于 2016-2-21 17:13
win10？

对啊，新鲜出炉，中午才搞定的

1446547521

ericdj 发表于 2016-2-21 17:24
对啊，新鲜出炉，中午才搞定的

难道BB在win10上，不受限制了？

ericdj

1446547521 发表于 2016-2-21 17:26
难道BB在win10上，不受限制了？

只双击了一次，等等吧~~~

1446547521

"";"IDP.SMP.12, E:\迅雷下载\6D85.tmp.exe";"已删除, 已隔离";"文件或目录";"2016/2/21, 17:38:29"
"";", E:\迅雷下载\6D85.tmp.exe";"已阻止该对象";"进程";"2016/2/21, 17:38:29"
"";", C:\jhon\user\current\Documents\kvxafbpkwqdo.exe";"已阻止该对象";"进程";"2016/2/21, 17:38:29"
"";", C:\Windows\syswow64\cmd.exe";"已阻止该对象";"进程";"2016/2/21, 17:38:29"
"";", C:\JHON\USER\CURRENT\DOCUMENTS\KVXAFBPKWQDO.EXE:ZONE.IDENTIFIER";"已删除, 已隔离";"NTFS 流";"2016/2/21, 17:38:29"
"";", C:\jhon\user\current\Documents\kvxafbpkwqdo.exe";"已删除, 已隔离";"文件或目录";"2016/2/21, 17:38:29"
"";", E:\迅雷下载\6D85.tmp.exe";"已阻止该对象";"进程";"2016/2/21, 17:38:29"
"";", HKEY_USERS\JHON_DEFAULTBOX\MACHINE\SOFTWARE\WOW6432NODE";"已删除";"注册表项";"2016/2/21, 17:38:29"
"";", HKEY_USERS\JHON_DEFAULTBOX\MACHINE\SOFTWARE\WOW6432NODE\MICROSOFT";"已删除";"注册表项";"2016/2/21, 17:38:29"

aboringman

1446547521 发表于 2016-2-21 17:40
"";"IDP.SMP.12, E:\迅雷下载\6D85.tmp.exe";"已删除, 已隔离";"文件或目录";"2016/2/21, 17:38:29"
"";", ...

既然楼主不相信IDP和我的结果，那么请老兄出马测试下我刚才测试过的样本(即楼主刚发的那些)，有劳了。

1446547521

aboringman 发表于 2016-2-21 18:13
既然楼主不相信IDP和我的结&#26524 ...

已换BD

windows7爱好者

AVA 25.4273
GD 25.5863

*** 进程 ***

进程: 9124
文件名: 6d85.tmp.exe
路径: f:\6d85.tmp.exe

发行商：: 未知发行商
创建日期: 02/21/16 10:50:25
修改日期: 02/21/16 07:10:46

启动进程：: explorer.exe
发行商：: Microsoft Windows


*** 操作 ***

程序文件被误导性命名以欺骗用户（例如：Image.jpg.exe）
程序已在内存中被修改。
一个未知进程访问了。
程序已将文件保存在系统文件夹。
程序已创建或已操作可执行文件。
程序进行了自我复制。
程序已复制自身到Windows文件夹。
程序在Windows文件夹已创建或已操作一个可执行文件。


*** 隔离区 ***

下列文件被转入隔离区：
F:\6D85.tmp.exe
c:\windows\vvdnfqjowmfo.exe

下列注册表项被删除：


YGLxcg0tJycmJicHLifocnIpJ7dwKCcnJiYnB6dCJycmJnRycCsnJyYmJwe5YvHSoCYnJyYmJweccnJiYnJywConJycnJgbscnJiYnJywC8nJyYmJwePcnJycmJi8CwnJyYmJwd3KScnJiYnB4crJycmJicHpysadjVmKyoadjVmKycadjVmKwm3KCcnJiYnB7cqJwjnKCcL5yknLycsJwkA
规则版本： 5.0.71
OS: Windows 6.1 Service Pack 1.0 Build: 7601 - Workstation 32bit OS
DLL版本： 55982

"F:\6D85.tmp.exe"
MD5: 1D6C2A9709DB56990EC3E5E26C12C775
C:\Windows\Explorer.EXE
MD5:

nick20010117

可疑文件： 6D85.tmp.exe

风险： 高
路径： C:\Users\Administrator\Desktop\6D85.tmp\6D85.tmp.exe

详细信息
•    6D85.tmp.exe 程序试图修改 Windows System 目录。此文件 C:\WINDOWS\NSKYOHHXQFIY.EXE 由该进程 created。
•    6D85.tmp.exe 程序试图随机复制 C:\WINDOWS\NSKYOHHXQFIY.EXE。

修改的文件
•    C:\Users\Administrator\Desktop\6D85.tmp\6D85.tmp.exe
•    C:\WINDOWS\NSKYOHHXQFIY.EXE (created)

共和时代

百度