Detection ratio: 2 / 54 IPS未拦截，HMPA防御漏洞攻击挂马，貌似加密勒索

墨家小子

SHA256:        1eeea0ca01071118069802fa53b636aac97744433a4b6003df4aa48d75f47947
File name:        8660.tmp.exe
Detection ratio:        2 / 54
Analysis date:        2016-03-04 10:39:12 UTC ( 44 minutes ago )
https://www.virustotal.com/en/file/1eeea0ca01071118069802fa53b636aac97744433a4b6003df4aa48d75f47947/analysis/

McAfee        Ransomware-FFR!7950565BF0B8        20160304
Qihoo-360        QVM07.1.Malware.Gen        20160304

又遇见一个IPS没有报警提示的挂马网页，心好累，我一直以为只有IPS和我才应该承受这个年纪不该有的帅气和机智~然而~~~~~这个大变态挂马网页，HMPA拦截了其中一个木马运行，然后在缓存区看到了三个……三缺一吗？







类别： 下载智能分析
日期和时间,风险,活动,状态,活动
2016/3/4 18:22:50,低,下载智能分析已扫描 8660.tmp.exe,允许访问,已执行的威胁操作: 0

Mitigation   CallerCheck

Platform     6.3.9600/x64 06_3d
PID          8732
Application  C:\Program Files (x86)\Internet Explorer\iexplore.exe
Description  Internet Explorer 11

Callee Type  CreateProcess
             C:\Users\AAA\AppData\Local\Temp\Low\DAE8.tmp.exe

Stack Trace
#  Address  Module                   Location
-- -------- ------------------------ ----------------------------------------
1  0D2607E6 (anonymous)            
            85c0                     TEST         EAX, EAX
            7517                     JNZ          0xd260801
            e914ffffff               JMP          0xd260703

2  0D2608D2 (anonymous)            
3  7545919F kernel32.dll             BaseThreadInitThunk +0xe
4  76F9A22B ntdll.dll                RtlInitializeExceptionChain +0x84
5  76F9A201 ntdll.dll                RtlInitializeExceptionChain +0x5a

Process Trace
1  C:\Program Files (x86)\Internet Explorer\iexplore.exe [8732]
"C:\Program Files (x86)\Internet Explorer\IEXPLORE.EXE" SCODEF:6896 CREDAT:1054013 /prefetch:2
2  C:\Program Files\Internet Explorer\iexplore.exe [6896]
"C:\Program Files\Internet Explorer\iexplore.exe" -private
3  C:\Windows\explorer.exe [7500]
4  C:\Windows\System32\userinit.exe [3332]
5  C:\Windows\System32\winlogon.exe [8092]
C:\windows\System32\WinLogon.exe -SpecialSession
6  C:\Windows\System32\smss.exe [5972]
\SystemRoot\System32\smss.exe 00000000 00000050 C:\windows\System32\WinLogon.exe -SpecialSession

saga3721

红伞云全杀'TR/Crypt.XPACK.Gen2 (Cloud)' [trojan]

pal家族

老司机不杀

欧阳宣

对付这种咖啡逐渐赶上趟了嘛~

xyz0703

eset不杀

rrorr

HEU_AEGISCS230

[mw_shl_code=css,true]文件名: 8660.tmp.exe
威胁名称: SONAR.SelfHijack!gen1完整路径: 不可用

____________________________

____________________________


在电脑上的创建时间 
2016/3/4 ( 20:09:52 )

上次使用时间 
2016/3/4 ( 20:09:52 )

启动项目 
否

已启动 
是

SONAR 主动防护监视电脑上的可疑程序活动。

____________________________


8660.tmp.exe 威胁名称: SONAR.SelfHijack!gen1
定位


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。


____________________________


来源: 外部介质

源文件:
winrar.exe

创建的文件:
8660.tmp.exe

____________________________

文件操作

文件: c:\users\administrator.pc\desktop\ 8660.tmp.exe 威胁已删除
事件: 正在运行进程: c:\users\administrator.pc\desktop\ 8660.tmp.exe 已终止
____________________________

系统设置操作

事件: 进程启动 (执行者 c:\users\administrator.pc\desktop\8660.tmp.exe, PID:2332) 未采取操作
事件: 进程启动: c:\users\administrator.pc\desktop\ 8660.tmp.exe, PID:3236 (执行者 c:\users\administrator.pc\desktop\8660.tmp.exe, PID:2332) 未采取操作
事件: 进程启动: c:\users\administrator.pc\desktop\ 8660.tmp.exe, PID:2332 (执行者 c:\users\administrator.pc\desktop\8660.tmp.exe, PID:2332) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用
[/mw_shl_code]

心醉咖啡

360全杀QVM07.1

windows7爱好者

双击击杀：

MXCERILYF!

BitDefender

jindao

f secure 发现3个