File name: 30B4.tmp.exe Detection ratio: 2 / 56 目测加密勒索挂马

墨家小子

Your file is now queued for scanning, please wait until the analysis starts.
SHA256:        583206e74038ad630ec0e04f09f233bd33d7f5b4d80db58b5d320cbb1dbcc7ac
File name:        30B4.tmp.exe

SHA256: 583206e74038ad630ec0e04f09f233bd33d7f5b4d80db58b5d320cbb1dbcc7ac  
File name: 30B4.tmp.exe
Detection ratio: 2 / 56  
Analysis date: 2016-03-15 15:22:10 UTC ( 20 minutes ago )  
https://www.virustotal.com/en/file/583206e74038ad630ec0e04f09f233bd33d7f5b4d80db58b5d320cbb1dbcc7ac/analysis/1458055976/

McAfee-GW-Edition  BehavesLike.Win32.Dropper.dc  20160315  
Qihoo-360  QVM42.0.Malware.Gen  20160315


https://virusscan.jotti.org/zh-CN/filescanjob/n2nsxlg08k

MXCERILYF!

卡巴拉黑

lovelive10010

AVA 25.5871
GD 25.5863

*** 进程 ***

进程: 4560
文件名: 30b4.tmp.exe
路径: c:\documents and settings\administrator\桌面\30b4.tmp\30b4.tmp.exe

发行商：: 未知发行商
创建日期: 03/15/16 22:38:14
修改日期: 03/15/16 15:17:20

启动进程：: 30b4.tmp.exe
发行商：: 未知发行商


*** 操作 ***

程序文件被误导性命名以欺骗用户（例如：Image.jpg.exe）
已加壳的程序文件，可能隐藏有恶意代码。
程序正试图建立自启动项，以在系统启动时自动运行。
程序已在内存中被修改。
程序已创建或已操作可执行文件。
程序进行了自我复制。


*** 隔离区 ***

下列文件被转入隔离区：
C:\Documents and Settings\Administrator\桌面\30B4.tmp\30B4.tmp.exe
c:\documents and settings\administrator\application data\bestowment.dll
c:\documents and settings\administrator\application data\comctsvc\comrcdll.exe
c:\documents and settings\administrator\application data\system.dll
c:\documents and settings\administrator\local settings\temp\180a\36.bat
c:\documents and settings\administrator\local settings\temp\nsd38.tmp
c:\documents and settings\administrator\local settings\temp\nsu33.tmp
c:\documents and settings\administrator\桌面\30b4.tmp\30b4.tmp.exe
c:\recycler\s-1-5-21-1343024091-1383384898-1801674531-500\desktop.ini
c:\recycler\s-1-5-21-1343024091-1383384898-1801674531-500\info2
d:\recycler\s-1-5-21-1343024091-1383384898-1801674531-500\desktop.ini
d:\recycler\s-1-5-21-1343024091-1383384898-1801674531-500\info2
e:\recycler\s-1-5-21-1343024091-1383384898-1801674531-500\desktop.ini
e:\recycler\s-1-5-21-1343024091-1383384898-1801674531-500\info2
f:\recycler\s-1-5-21-1343024091-1383384898-1801674531-500\desktop.ini
f:\recycler\s-1-5-21-1343024091-1383384898-1801674531-500\info2

下列注册表项被删除：

\registry\user\s-1-5-21-1343024091-1383384898-1801674531-500\software\appdatalow\software\microsoft\eba675c5-4e0f-55ce-b04f-6259e4f3b69d || client
\registry\user\s-1-5-21-1343024091-1383384898-1801674531-500\software\appdatalow\software\microsoft\eba675c5-4e0f-55ce-b04f-6259e4f3b69d || 2202fc40-199b-a4c9-b376-5d18970ae1cc
\registry\user\s-1-5-21-1343024091-1383384898-1801674531-500\software\appdatalow\software\microsoft\eba675c5-4e0f-55ce-b04f-6259e4f3b69d || cddff3b6-c8fe-8793-3a51-7cab0e15700f
\registry\user\s-1-5-21-1343024091-1383384898-1801674531-500\software\microsoft\windows\currentversion\run || comatrep

YGLxx3LJsHKiKyYmJ7rAcnIpJycnh9By0nKScqLgcnKocpIrJ/5wKCcnJycmBqdCJyl0ckInCLdyknJycoJwLCcpJycnCOhycnJyYmKQKxZ/LG6QLScH6XKyYmJysqAsJysmJicLm3KCYmJygsApJygnJycHrHJyYmJycsAvJyonKCcIjXKiYmJyotAuJyomJicKj3KSYmJykvAsJycnJyYGdyonB4crJyknJycIhy0nKCYmJwiXLycqJiYnCqcrGMs1ZistGMs1ZisnGMs1ZisMty0nKCcoJga3LycnJiYnB8cuJycmJicHxy8nZ2JicnIG1yknKScnJwjnKCdnCucpJ2hygiYmBmgpJwu4LCcnJycmBrgvJyonJycJAA
规则版本： 5.0.87
OS: Windows 5.1 Service Pack 3.0 Build: 2600 - Workstation 32bit OS
DLL版本： 55982

"C:\Documents and Settings\Administrator\桌面\30B4.tmp\30B4.tmp.exe"
MD5: 786EFED3A03BB93E7752F5BF32236DF2
"C:\Documents and Settings\Administrator\桌面\30B4.tmp\30B4.tmp.exe"
MD5: 786EFED3A03BB93E7752F5BF32236DF2

saga3721

红伞杀'TR/Dropper.A.41279 [trojan]'

胖福

文件名: 30b4.tmp.exe
威胁名称: SONAR.SelfHijack!gen1
完整路径: 不可用

____________________________



详细信息
极少用户信任的文件,  极新的文件,  风险 高





原始
下载自
 未知





活动
已执行的操作: 10



____________________________



在电脑上的创建时间 
2016-3-16 ( 07:57:14 )


上次使用时间 
2016-3-16 ( 07:57:14 )


启动项目 
否


已启动 
是


____________________________


极少用户信任的文件
诺顿社区中有 不到 5 名用户使用了此文件。

极新的文件
该文件已在 不到 1 周 前发行。

高
此文件具有高风险。

SONAR 主动防护监视电脑上的可疑程序活动。



____________________________



来源: 外部介质



源文件:
30b4.tmp.exe




____________________________

文件操作

文件: f:\norton样本\临时收集\ 30b4.tmp.exe 已删除
文件: c:\users\administrator\appdata\roaming\ bestowment.dll 已删除
文件: c:\users\administrator\appdata\roaming\ matepellmellgrape 已删除
文件: c:\users\administrator\appdata\roaming\ ceramics - gloss black.3pp 已删除
事件: 正在运行进程: f:\norton样本\临时收集\ 30b4.tmp.exe 已终止
____________________________

系统设置操作

事件: 进程启动 (执行者 f:\norton样本\临时收集\30b4.tmp.exe, PID:5212) 未采取操作
事件: PE 文件创建: c:\users\administrator\appdata\roaming\ bestowment.dll (执行者 f:\norton样本\临时收集\30b4.tmp.exe, PID:5212) 未采取操作
事件: PE 文件创建: c:\Users\administrator\AppData\Roaming\ System.dll (执行者 f:\norton样本\临时收集\30b4.tmp.exe, PID:5212) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 30b4.tmp.exe, PID:5272 (执行者 f:\norton样本\临时收集\30b4.tmp.exe, PID:5212) 未采取操作
事件: 进程启动: f:\norton样本\临时收集\ 30b4.tmp.exe, PID:5212 (执行者 f:\norton样本\临时收集\30b4.tmp.exe, PID:5212) 未采取操作
____________________________


文件指纹 - SHA:
不可用
文件指纹 - MD5:
不可用

Luca.l

管家扫描miss
双击


放行后。。。。。。。好吧又是安静的发毛的那种。。。。。。

哈勃：https://habo.qq.com/file/showdetail?pk=ADQGYF1pB2MIO1s1#baseinfo
火眼：http://fireeye.ijinshan.com/analyse.html?md5=786efed3a03bb93e7752f5bf32236df2&sha1=31ae362abe0fe2f9549aef211024282c71947677&type=1#full

动作蛮多的，，，，可惜啊，我这里毛线反应都没有，偷偷摸摸的把我的东西给换了，喔的管家依旧跟我说，“放心，我在保护你的安全，”